ai-change-evidence — скилл для Claude Code
Собирает по изменениям, которые написали агенты, доказательства для аудитора: кто инициировал, что просили, кто одобрил. Пригодится, если код попадает под SOC 2, ISO 27001 или PCI DSS.
npx skills add securityskills/skills --skill ai-change-evidence -a claude-codeЧто делает ai-change-evidence
Скилл ведёт вас по шести шагам. Сначала определяется охват: какие репозитории и сервисы принимают изменения от агентов и различимы ли такие коммиты вообще. Если коммиты записаны на человека без пометки, скилл советует сказать об этом прямо, а не восстанавливать картину задним числом.
Дальше собирается провенанс по каждому изменению в охвате: кто запустил, что было в промпте или спецификации, какой агент и модель работали, что затронуто, кто одобрил. Отдельный блок — разделение обязанностей. Тот, кто попросил изменение, не должен быть его единственным утверждающим, а автотесты доказывают проверку, но не независимое одобрение.
Затем идёт привязка к контролам, которые у вас и так есть: управление изменениями, доступ, логирование, работа с поставщиками. Скилл предупреждает сверять версии фреймворков с датой оценки, потому что номера контролов меняются между ревизиями. На выходе — таблица «контрол — доказательство — где лежит — весь период или часть», пробелы отдельным списком с ответственным и сроком. Оценивать можно только те среды, на которые у вас есть разрешение.
Какие задачи решает
- показать аудитору, кто инициировал изменение, написанное агентом
- зафиксировать, какой промпт и какая конфигурация агента были в силе на тот момент
- развести автора запроса и утверждающего, когда между ними стоит агент
- привязать изменения от агентов к контролам SOC 2, ISO 27001 или PCI DSS
- найти места, где след доказательств обрывается, и оформить их как пробелы со сроком
Примеры запросов агенту
- Пройди по репозиториям и скажи, где вообще принимают изменения от агентов и различимы ли они
- Собери по случайным изменениям за период полную цепочку: промпт, агент, конфигурация, одобривший человек
- Сделай таблицу по контролам с доказательствами и отдельно перечисли пробелы с ответственным и датой
Как установить ai-change-evidence
1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill ai-change-evidence -a claude-code2Вручную: положить файлы
~/.claude/skills/ai-change-evidence/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/ai-change-evidence/
1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill ai-change-evidence -a codex2Вручную: положить файлы
.agents/skills/ai-change-evidence/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill ai-change-evidence -a cursor2Вручную: положить файлы
.cursor/skills/ai-change-evidence/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install securityskills/skills ai-change-evidence2Вручную: положить файлы
.github/skills/ai-change-evidence/SKILL.md1Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill ai-change-evidence -a gemini-cli2Командой платформы
gemini skills install https://github.com/securityskills/skills --path agentic-security/governance/ai-change-evidenceВручную: положить файлы
.devin/skills/ai-change-evidence/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add securityskills/skills --skill ai-change-evidence -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о ai-change-evidence
Как установить ai-change-evidence в Claude Code?
Выполните npx skills add securityskills/skills --skill ai-change-evidence -a claude-code, файл окажется по пути ~/.claude/skills/ai-change-evidence/SKILL.md.
Что делает ai-change-evidence?
Превращает изменения, написанные агентами, в доказательства для аудитора: провенанс, авторизация и привязка к контролам управления изменениями. На выходе — таблица по контролам и список пробелов.
Подойдёт ли скилл, если коммиты агентов не помечены?
Да, он прямо просит сказать об этом как о проблеме охвата, а не восстанавливать авторство позже. Это первый шаг, до сбора провенанса.
