Dependency audit — defensive review for hijacks, typosquats and supply-chain attacks

Prérequis : un projet avec des dépendances tierces à auditer — le skill est une méthodologie de revue défensive que l'agent suit, pas un logiciel Installe-moi « Audit de dépendances — revue défensive contre hijacks, typosquats et attaques supply-chain ». Il donne à mon agent la checklist d'audit défensive de @briiirussell : vérifications de réputation du registre (npm, PyPI, crates.io), détection d'anomalies d'historique de release (version squatting, publications rapides), signaux de comportements suspects (scripts postinstall, code obfusqué, accès credentials, appels réseau), guide des alternatives sûres et scripts d'audit. NOTE : c'est une méthodologie de revue, pas un scanner automatisé — à combiner avec npm audit / pip-audit / socket.dev pour l'enforcement. Licence MIT. Dépôt : https://github.com/briiirussell/cybersecurity-skills/blob/main/skills/dependency-audit/SKILL.md 1. Récupère le fichier SKILL.md (et les fichiers d'aide éventuels) depuis le chemin du dépôt dans un dossier temporaire et résume en une ou deux phrases ce qu'il fait. 2. Vérification de sécurité : examine le SKILL.md et les scripts pour tout contenu suspect (appels réseau inattendus, commandes shell, collecte d'identifiants). Ce dépôt ne devrait contenir aucun secret en dur. Vérifie que c'est bien le cas ici ; STOP sur tout signal d'alerte et dis-le-moi. 3. Installe-le comme skill : copie le SKILL.md et ses fichiers d'aide dans le répertoire des skills de l'agent, dans un dossier nommé « dependency-audit ». 4. Vérifie sans appels réseau : frontmatter valide, fichiers en place. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (p. ex. remettre à l'agent la dépendance ou le lockfile à auditer ; rien d'autre — c'est une méthodologie de revue). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf s'il figure dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi.