mattpocock/skills: un'ingegneria del software rigorosa e snella per lavorare con gli agenti, lasciando a chi sviluppa la scelta del percorso
Analisi della raccolta di skill di Matt Pocock: scopo, organizzazione, distribuzione, verifiche, sicurezza, dipendenze e licenze. Dati raccolti da una copia locale del repository, da package-lock.json, da deps.dev e da GitHub.
Presentazione e commento
Il nostro commento, ricavato da come Matt Pocock presenta le sue skill: il README del repository al commit analizzato e il talk «Building Great Agent Skills: The Missing Manual» all'AI Engineer World's Fair del 2026.
Contro i framework che vogliono fare tutto
Metodi come GSD, BMAD e Spec-Kit si fanno carico dell'intero processo e guidano la realizzazione in modo strutturato e predefinito. Pocock rifiuta questa impostazione perché toglie il controllo a chi lavora e rende difficile correggere gli errori del processo stesso: le sue skill sostengono il lavoro, ma il percorso lo decide chi lo fa.
Leggere, usabili una alla volta, da affiancare ad altre
Ogni skill serve anche da sola: /tdd, scrive Pocock, si inserisce in qualsiasi progetto. Proprio perché sono piccole e componibili, si affiancano bene a skill di altri autori e a framework pensati per un ambito specifico. Lo vediamo ogni giorno: in questo stesso progetto ne usiamo dieci, due delle quali adattate, accanto alle nostre.
Il superfluo è spreco
È il principio della produzione snella, il pensiero lean, applicato alle istruzioni per gli agenti. Nella documentazione del repository ogni frase di una skill deve superare una prova: se togliendola il comportamento dell'agente non cambia, va tolta, insieme alle ripetizioni e alle aggiunte rimaste depositate nel tempo. Per un lettore che ha già letto tutto, scrive Pocock, «spiegare è spreco, e la precisione è tutto il lavoro».
Sostengono il lavoro, non lo guidano. È il cuore della tesi di Pocock. Il README contrappone le sue skill ai metodi che si fanno carico dell'intero processo di sviluppo, come GSD, BMAD e Spec-Kit, che secondo lui «tolgono il controllo e rendono difficile correggere i difetti del processo». Le sue sono invece «piccole, facili da adattare e componibili», funzionano con qualsiasi modello, e chi le usa è invitato a modificarle e a farle proprie.
Il percorso resta a chi lavora. Pocock distingue le skill che si chiamano a mano, che servono a orchestrare il lavoro, da quelle che l'agente usa da solo quando il compito lo richiede. Nel talk dice di preferire, per le proprie, l'invocazione diretta, e ne riconosce il prezzo: chi lavora deve ricordare quali skill esistono e quando servono, un peso che lui chiama carico cognitivo.
Leggere nella forma, rigorose nei punti che contano. L'obiettivo dichiarato non è un sostegno leggero qualsiasi, ma riportare nel lavoro con gli agenti i fondamentali dell'ingegneria del software, contro il vibe coding, cioè il costruire senza disciplina. La disciplina si concentra in momenti precisi: l'intervista prima di ogni modifica (/grill-me e /grill-with-docs, da usare «ogni volta» che si vuole cambiare qualcosa), i test prima del codice (/tdd: si scrive un test che fallisce, lo si fa passare, poi si riordina il codice) e una ricognizione dell'architettura «ogni pochi giorni» (/improve-codebase-architecture). Le skill lasciano libero il percorso, non il rigore.
La documentazione vera è il codice, non i documenti di analisi. La specifica che nasce dall'intervista serve a lavorare, non a restare. Nella documentazione del repository Pocock la descrive come «un'istantanea di ciò che sapevi in quel momento», che invecchia la prima volta che l'implementazione insegna qualcosa, e chiede di considerarla da buttare una volta rilasciato il lavoro. Lo stesso vale per i testi che ripetono ciò che il progetto dice da sé: script, file di configurazione e struttura delle cartelle fanno fede, e un documento che li riassume è solo una copia destinata a invecchiare. Restano scritti, e vanno tenuti aggiornati, soltanto il glossario e i registri delle decisioni, cioè quello che dal codice non si ricava: il vocabolario del progetto e il perché delle scelte.
Il costo che conta è il contesto. Pocock non sostiene che le skill facciano risparmiare token in generale, cioè le unità in cui si misura il testo letto e scritto dal modello, e non pubblica misure. Dice due cose più precise. Un vocabolario condiviso del progetto, scritto in un glossario e nei registri delle decisioni (ADR), fa sì che l'agente «spenda meno token per pensare», perché dispone di un linguaggio più conciso. E ogni skill che l'agente può scegliere da solo porta la propria descrizione nel contesto, il testo che il modello rilegge a ogni richiesta: per questo, nel talk, il file principale di una skill deve restare piccolo quanto il compito permette, e i materiali di supporto si caricano solo quando servono.
La nostra lettura. Le skill costano poco contesto perché sono piccole, e fanno ragionare meno l'agente perché il progetto ha un vocabolario scritto. Ne ricaviamo un sostegno di valore anche nei costi, oltre che nella qualità.
Versione analizzata
| Repository | github.com/mattpocock/skills ↗ |
|---|---|
| Analisi eseguita il | 4 novembre 2026, ore 23:29 UTC+01:00 |
| Commit | 4ae2317ddb22b046e26455e4f9c9b3aaaf62212dsoftware-factory: glossary skill for designing a factory (#1316) |
| Data del commit | 31 ottobre 2026, ore 14:23 UTC+00:00 |
| Ramo | main |
| Etichetta di versione più vicina | v1.3.2 (3 commit dopo l'etichetta) |
| Popolarità (al momento dell'analisi) | ★ 313.207 stelle · 26.277 fork · 8 contributori su GitHub · 1 autori umani nella storia Git |
| Ultima versione pubblicata | v1.3.2 (2026-10-29) non è l'ultima versione pubblicata |
Verifica allineamento. Per sapere quanto il repository è cambiato dopo questa analisi apri il confronto su GitHub o esegui in un clone aggiornato:
Confronta 4ae2317ddb22 con lo stato attuale di main ↗
git fetch origin && git rev-list --count 4ae2317ddb22b046e26455e4f9c9b3aaaf62212d..origin/main
In breve
mattpocock/skills è una raccolta di 39 skill per agenti di programmazione (Claude Code, Codex, Copilot, Gemini e gli altri che leggono il formato Agent Skills). Non impone un processo: offre pezzi piccoli da comporre. Il percorso principale va dall'intervista che chiarisce l'idea (/grill-with-docs) alla specifica, ai ticket, all'implementazione guidata dai test e alla revisione del codice; attorno ci sono skill per lo smistamento delle segnalazioni, la diagnosi dei difetti, l'esplorazione dei progetti molto incerti e il passaggio di consegne fra sessioni. Una skill, /ask-matt, fa da indice e dice quale usare in ogni situazione.
Il repository è quasi tutto testo, scritto con molta disciplina: circa 27 700 parole di istruzioni e solo 497 righe di codice, cioè cinque script di shell e due di JavaScript. Le regole del progetto sono scritte e motivate: che cosa entra nel perimetro (SCOPE.md), le idee già rifiutate con il perché (una per file in .out-of-scope/), due decisioni registrate, un registro delle modifiche che collega ogni cambiamento alla segnalazione che lo ha richiesto. Nessuna dipendenza arriva a chi installa: i 110 pacchetti npm servono solo a numerare le versioni.
I limiti stanno nella dipendenza da una sola persona e nelle verifiche. Il 91 % dei commit porta il nome dell'autore; gli altri portano nomi di agenti (Claude, Remote Box Agent), di account di prova o del bot del rilascio, e nessuno è di un altro sviluppatore riconoscibile. Le richieste di modifica (pull request) sono aperte solo ai collaboratori. Il plugin per Claude Code e quello per Codex si aggiornano da soli, quindi nuove istruzioni entrano nell'agente senza che chi le usa le abbia lette. Non ci sono prove automatiche del comportamento delle skill, e le regole interne (indice, manifest, pagine di documentazione) sono affidate a istruzioni per l'agente, non a controlli.
Scopo e casi d'uso
A che cosa serve e dove rende di più.
Dall'idea al codice in passi verificabili
/grill-with-docs chiarisce l'idea con un'intervista e lascia glossario e decisioni nel repository; /to-spec e /to-tickets la trasformano in una specifica e in ticket con le dipendenze dichiarate; /implement o /implement-spec li realizzano guidati da /tdd e chiusi da /code-review.
Smistare le segnalazioni
/triage porta le segnalazioni ricevute attraverso etichette fisse (da smistare, servono informazioni, pronta per l'agente, pronta per una persona, non si fa) fino a ticket che un agente può prendere.
Diagnosi dei difetti difficili
/diagnosing-bugs non formula ipotesi finché non ha un comando che riproduce il difetto, poi lo corregge con una prova di regressione; per i casi con una persona nel ciclo fornisce uno script guidato.
Progetti grandi e incerti
/wayfinder costruisce sul tracker, cioè il sistema in cui si registrano segnalazioni e ticket (GitHub, GitLab o file locali), una mappa di ticket di decisione e li risolve uno alla volta, finché la strada è chiara e si può passare alla specifica.
Lavorare su più sessioni
/handoff scrive un documento di passaggio per riprendere in una sessione nuova; /retro rilegge la sessione e propone modifiche all'ambiente dell'agente, non al codice.
Scrivere per gli agenti
/writing-for-agents raccoglie le regole per scrivere skill e file di istruzioni: rimandi, carico di contesto, criteri di completamento, potatura.
Più utile per
- Chi usa agenti di programmazione ogni giorno e vuole metodi provati senza cedere il controllo a un processo che decide tutto.
- Chi costruisce il proprio metodo e cerca pezzi da copiare e adattare: la licenza MIT e l'installazione con copie modificabili lo permettono.
- Chi vuole imparare a scrivere skill: il repository applica a sé stesso le regole che insegna.
Meno adatto a
- Chi cerca un prodotto pronto con garanzie: non ci sono prove automatiche e una sola persona decide che cosa cambia.
- Ambienti in cui ogni istruzione data all'agente va approvata prima: i plugin si aggiornano da soli, a ogni avvio o per impostazione predefinita.
- Chi ha già una raccolta con nomi generici:
/triage,/tdd,/research,/code-reviewpossono sovrapporsi ai comandi dell'agente o di altre raccolte, e il progetto ha deciso di non rinominarli.
Architettura
Un repository di sole istruzioni. Le skill stanno in cartelle che dicono quanto sono mature; il plugin ne distribuisce solo le 27 «promosse»; un comando di configurazione scrive nel progetto dell'utente il tracker, le etichette e il posto dei documenti di dominio, che le skill poi leggono.
Soluzioni ricorrenti
- Una skill che fa da indice
/ask-mattdescrive i percorsi fra le skill e quale usare in ogni situazione; deve leggere ilSKILL.mddi una skill prima di dire che cosa fa, e va aggiornata a ogni skill aggiunta o rinominata. - Skill di base condiviseLe skill brevi delegano a una skill di base comune:
/grill-mee/grill-with-docschiamano entrambe/grilling,/tddprende il vocabolario da/codebase-design. Una regola cambia in un posto solo. - Due modi di invocareOgni skill si dichiara attivabile solo a mano (24 su 39) o anche dal modello, con le impostazioni corrispondenti per Claude Code e per Codex; la scelta è spiegata in
.agents/invocation.md. - Contesto nuovo per ogni sottoagenteUna regola del repository impone che ogni skill che avvia un sottoagente lo apra con un contesto pulito, perché alcuni agenti ereditano la conversazione e il sottoagente perderebbe lo scopo.
Dove sta il codice
Righe per area (test inclusi).
Linguaggi
File più grandi
| File | Righe |
|---|---|
skills/engineering/wizard/template.sh | 223 |
skills/in-progress/setup-ts-deep-modules/dependency-cruiser.config.cjs | 95 |
scripts/link-skills.sh | 62 |
skills/engineering/diagnosing-bugs/scripts/hitl-loop.template.sh | 44 |
scripts/sync-plugin-version.mjs | 41 |
skills/misc/git-guardrails-claude-code/scripts/block-dangerous-git.sh | 25 |
scripts/list-skills.sh | 7 |
Scelte progettuali
Le scelte principali, ricostruite dai documenti del repository.
Skill piccole da comporre invece di un processo che governa tutto
| Contesto | Metodi come GSD, BMAD e Spec-Kit guidano l'intero processo e rendono difficile correggerlo |
|---|---|
| Alternative | Un processo unico e opinato |
| Motivazione | Chi lavora tiene il controllo e adatta i pezzi |
| Conseguenze | Serve un indice (/ask-matt) per orientarsi fra 39 skill |
| Evidenze | README, «Why These Skills Exist» |
Plugin nativo per Claude Code, rinviato quello per Codex
| Contesto | Il manifest di Codex accetta un solo percorso e le skill promosse stanno in due cartelle |
|---|---|
| Alternative | Riorganizzare skills/; copie generate in una cartella piatta |
| Motivazione | Il manifest di Claude Code accetta un elenco esplicito delle skill da distribuire |
| Conseguenze | Codex installa dal marketplace del repository o con skills.sh |
| Evidenze | .agents/adr/0002-ship-as-a-claude-code-plugin.md |
Rimando esplicito alla configurazione solo dove è indispensabile
| Contesto | Alcune skill senza configurazione producono risultati sbagliati, altre solo meno precisi |
|---|---|
| Alternative | Il rimando in ogni skill |
| Motivazione | Le skill che ne fanno a meno restano leggere |
| Conseguenze | to-tickets, to-spec e triage richiamano /setup-matt-pocock-skills; le altre degradano con grazia |
| Evidenze | .agents/adr/0001-explicit-setup-pointer-only-for-hard-dependencies.md |
Proposte accettate solo con un fallimento osservato
| Contesto | Centinaia di segnalazioni su un progetto molto seguito |
|---|---|
| Alternative | Accogliere idee e opzioni personali |
| Motivazione | Il repository resta il metodo dell'autore, non la somma delle preferenze di tutti |
| Conseguenze | Niente skill nuove da esterni, niente opzioni di configurazione; le idee rifiutate restano archiviate |
| Evidenze | SCOPE.md, .out-of-scope/ |
Tecnologie
Le tecnologie e il ruolo di ciascuna (verificato su package.json, script e manifest).
| Ambito | Tecnologia | Uso nel progetto |
|---|---|---|
| Istruzioni | Markdown con intestazione YAML (formato Agent Skills); agents/openai.yaml per Codex | Tutte le skill e la loro politica di invocazione |
| Distribuzione | .claude-plugin/plugin.json e marketplace.json; skills.sh | Plugin con le sole skill promosse; copie modificabili per gli altri agenti |
| Versioni | @changesets/cli, Node.js 22 in GitHub Actions | Numerazione delle versioni, registro delle modifiche, tag; uno script allinea la versione del plugin |
| Script | Bash, JavaScript | Collegamento locale delle skill per chi mantiene il repository; script da copiare e adattare dentro alcune skill |
Skill e altri componenti per agenti
Skill, istruzioni, hook e server MCP inclusi nel repository: provenienza, licenza e codice eseguibile.
| Skill | Origine | Licenza | Titolare / fonte | Cartelle | Script |
|---|---|---|---|---|---|
prUse when writing a PR body. | Terze parti | ? senza LICENSE | Dex Horthy | repo | — |
ask-mattAsk which skill or flow fits your situation. A router over the skills in this repo. | Propria | MIT (dal progetto) | — | repo | — |
chief-of-staffPursue a long-running goal in a single session by co-ordinating subagents. | Propria | MIT (dal progetto) | — | repo | — |
claude-handoffHand the current conversation off to a fresh background agent that picks up the work immediately. | Propria | MIT (dal progetto) | — | repo | — |
code-reviewReview the changes since a fixed point (commit, branch, tag, or merge-base) along two axes: Standards (does the code follow this repo's documented coding standards?) and Spec (does the code match what the originating issue/spec asked for?). Runs both reviews in parallel sub-agents and reports them s | Propria | MIT (dal progetto) | — | repo | — |
codebase-designShared vocabulary for designing deep modules. Use when the user wants to design or improve a module's interface, find deepening opportunities, decide where a seam goes, make code more testable or AI-navigable, or when another skill needs the deep-module vocabulary. | Propria | MIT (dal progetto) | — | repo | — |
diagnosing-bugsDiagnosis loop for hard bugs and performance regressions. Use when the user says "diagnose"/"debug this", or reports something broken/throwing/failing/slow. | Propria | MIT (dal progetto) | — | repo | 1 (44 righe) rete, esegue processi |
domain-modelingBuild and sharpen a project's domain model. Use when discussing codebase terminology, writing or editing a GLOSSARY.md, or recording or editing an ADR. | Propria | MIT (dal progetto) | — | repo | — |
git-guardrails-claude-codeSet up Claude Code hooks to block dangerous git commands (push, reset --hard, clean, branch -D, etc.) before they execute. Use when user wants to prevent destructive git operations, add git safety hooks, or block git push/reset in Claude Code. | Propria | MIT (dal progetto) | — | repo | 1 (25 righe) cancella file |
grill-meA relentless interview to sharpen a plan or design. | Propria | MIT (dal progetto) | — | repo | — |
grill-with-docsA relentless interview to sharpen a plan or design, which also creates docs (ADR's and glossary) as we go. | Propria | MIT (dal progetto) | — | repo | — |
grillingGrill the user relentlessly about a plan, decision, or idea. Use when the user wants to stress-test their thinking, or uses any 'grill' trigger phrases. | Propria | MIT (dal progetto) | — | repo | — |
handoffCompact the current conversation into a handoff document for another agent to pick up. | Propria | MIT (dal progetto) | — | repo | — |
implementImplement a piece of work based on a spec or set of tickets. | Propria | MIT (dal progetto) | — | repo | — |
implement-specImplement the result of /to-spec and /to-tickets in code. | Propria | MIT (dal progetto) | — | repo | — |
improve-codebase-architectureScan a codebase for deepening opportunities, present them as a visual HTML report, then grill through whichever one you pick. | Propria | MIT (dal progetto) | — | repo | — |
loop-meGrill me about specs for the workflows I want to build, within this workspace. | Propria | MIT (dal progetto) | — | repo | — |
migrate-to-shoehornMigrate test files from `as` type assertions to @total-typescript/shoehorn. Use when user mentions shoehorn, wants to replace `as` in tests, or needs partial test data. | Propria | MIT (dal progetto) | — | repo | — |
prototypeBuild a throwaway prototype to answer a design question. Use when the user wants to sanity-check whether a state model or logic feels right, or explore what a UI should look like. | Propria | MIT (dal progetto) | — | repo | — |
researchInvestigate a question against high-trust primary sources and capture the findings as a Markdown file in the repo. Use when the user wants a topic researched, docs or API facts gathered, or reading legwork delegated to a background agent. | Propria | MIT (dal progetto) | — | repo | — |
retroConduct a retrospective on a coding session. | Propria | MIT (dal progetto) | — | repo | — |
scaffold-exercisesCreate exercise directory structures with sections, problems, solutions, and explainers that pass linting. Use when user wants to scaffold exercises, create exercise stubs, or set up a new course section. | Propria | MIT (dal progetto) | — | repo | — |
setup-matt-pocock-skillsConfigure this repo for the engineering skills: set up its issue tracker, triage label vocabulary, and domain doc layout. Run once before first use of the other engineering skills. | Propria | MIT (dal progetto) | — | repo | — |
setup-pre-commitSet up Husky pre-commit hooks with lint-staged (Prettier), type checking, and tests in the current repo. Use when user wants to add pre-commit hooks, set up Husky, configure lint-staged, or add commit-time formatting/typechecking/testing. | Propria | MIT (dal progetto) | — | repo | — |
setup-ts-deep-modulesWire dependency-cruiser into a TypeScript repo so each package is a deep module, with implementation hidden in subfolders and reachable only through its entry-point files. User-invoked. | Propria | MIT (dal progetto) | — | repo | 1 (95 righe) |
software-factoryShared language for designing a software factory: the tasks it runs and the services it plugs into. | Propria | MIT (dal progetto) | — | repo | — |
tddTest-driven development. Use when the user wants to build features or fix bugs test-first, mentions "red-green-refactor", or wants integration tests. | Propria | MIT (dal progetto) | — | repo | — |
teachTeach the user a new skill or concept, within this workspace. | Propria | MIT (dal progetto) | — | repo | — |
to-questionnaireTurn a decision you can't fully answer into a questionnaire for someone else to fill in. | Propria | MIT (dal progetto) | — | repo | — |
to-specTurn the current conversation into a spec and publish it to the project issue tracker: no interview, just synthesis of what you've already discussed. | Propria | MIT (dal progetto) | — | repo | — |
to-ticketsBreak a plan, spec, or the current conversation into a set of tracer-bullet tickets, each declaring its blocking edges, published to the configured tracker (edges as text in one file per ticket locally, or native blocking links on a real tracker). | Propria | MIT (dal progetto) | — | repo | — |
triageMove issues and external PRs through a state machine of triage roles, categorise, verify, grill if needed, and write agent-ready briefs. | Propria | MIT (dal progetto) | — | repo | — |
wait-whatStop. That last message did not land: re-pitch it. | Propria | MIT (dal progetto) | — | repo | — |
wayfinderPlan a huge chunk of work (more than one agent session can hold) as a shared map of decision tickets on your issue tracker, and resolve them one at a time until the way to the destination is clear. | Propria | MIT (dal progetto) | — | repo | — |
wizardGenerate an interactive bash wizard that walks a human through steps only they can perform. Use when provisioning infrastructure, setting up credentials or CI secrets, walking an unfamiliar third-party dashboard, or running a one-off migration or cutover. Don't invoke this for steps the agent can pe | Propria | MIT (dal progetto) | — | repo | 1 (223 righe) rete |
writing-beatsWriting, exploit; assemble raw material into a journey of beats, grounding each term before a beat leans on it. | Propria | MIT (dal progetto) | — | repo | — |
writing-for-agentsWriting documents for agents. Use when creating or editing skills, or modifying AGENTS.md or CLAUDE.md. | Propria | MIT (dal progetto) | — | repo | — |
writing-fragmentsWriting, explore: mine raw fragments, no structure yet. | Propria | MIT (dal progetto) | — | repo | — |
writing-shapeWriting, exploit: shape raw material into an article, paragraph by paragraph. | Propria | MIT (dal progetto) | — | repo | — |
Altri componenti per agenti
| Tipo | Elemento | Dettaglio |
|---|---|---|
| Istruzioni | AGENTS.md | 33 righe → CLAUDE.md |
| Istruzioni | CLAUDE.md | 33 righe |
| Plugin | .claude-plugin/plugin.json | |
| Plugin | .claude-plugin/marketplace.json |
Stato di salute
Giudizio sintetico per dimensione (1 = critico, 5 = eccellente). Per una raccolta di istruzioni il «codice» sono soprattutto i SKILL.md.
Misura l'impatto positivo che il progetto può avere sul lavoro di chi lo adotta: tiene conto dei punteggi tecnici qui sotto, ma non ne è la media.
/grill-me e /grill-with-docs), configurazione per progetto separata dalle skill. Il prezzo è la stessa informazione ripetuta in quattro posti da tenere allineati.package.json, manifest del plugin e GitHub. La skill pr riprende quasi alla lettera una parte di una skill di terzi sotto MIT con un file di crediti, ma senza la nota di copyright e il testo della licenza.Commit settimanali (ultime 52 settimane)
Σ 553
Test e qualità
Come si verifica una raccolta di istruzioni: che cosa c'è e che cosa manca.
| Prove automatiche | Nessuna, né sul comportamento delle skill né sulla coerenza dei file |
|---|---|
| Procedure automatiche | 3: rilascio con changesets, etichetta alle nuove segnalazioni, chiusura delle segnalazioni senza risposta dopo 14 giorni |
| Controlli a mano | claude plugin validate . --strict dopo ogni modifica ai manifest; sync-plugin-version.mjs --check |
| Verifica dal campo | Ogni segnalazione deve portare una riproduzione da una sessione reale; il registro delle modifiche cita la segnalazione risolta |
| Documentazione | 28 pagine per le skill promosse, con quattro sezioni fisse; 108 file Markdown in tutto |
| Collegamenti rotti | 5, tutti percorsi d'esempio o segnaposti dentro i file che descrivono il formato dei documenti |
Punti di forza e debolezza
Valutazione basata su struttura, documenti, storia e configurazione del repository.
Punti di forza
- Perimetro scritto e difeso
SCOPE.mdfissa la soglia per ogni proposta (un fallimento osservato in una sessione reale, coerente con l'impostazione), e.out-of-scope/conserva le idee rifiutate con il motivo, così la stessa discussione non si riapre. - Cambiamenti tracciati fino al problemaOgni voce del registro delle modifiche nomina la segnalazione che l'ha causata e il commit che la risolve: si può risalire da un comportamento nuovo al difetto che l'ha motivato.
- Istruzioni corte e componibiliPiù della metà delle skill (22 su 39) sta sotto le 80 righe; le più brevi delegano a una skill di base comune. Ogni skill ha un criterio di completamento e rimanda ai file di riferimento invece di ripeterli.
- Nessun codice all'installazioneInstallare la raccolta non esegue niente: niente hook globali, niente script di configurazione, niente dipendenze distribuite. Gli script presenti si leggono in pochi minuti.
- Si copia e si adattaLa licenza MIT e l'installazione con skills.sh danno copie modificabili; il repository stesso consiglia di adattare le skill nel proprio progetto invece di chiedere opzioni.
Punti di debolezza
- Una sola persona506 commit su 553 sono dell'autore; gli altri portano nomi di agenti (Claude, Claude Sonnet 5, Remote Box Agent), di account come «remote-box» e «Test», o del bot del rilascio. Le pull request sono chiuse agli esterni e le proposte di skill nuove sono escluse per regola.
- Istruzioni che cambiano da soleIl plugin per Claude Code si aggiorna per impostazione predefinita e quello per Codex a ogni avvio: con 133 commit in 90 giorni il comportamento dell'agente può cambiare senza che chi lo usa se ne accorga.
- Regole interne senza controlliIndice, manifest del plugin, README delle cartelle e pagine di documentazione vanno tenuti allineati a mano o dall'agente seguendo
CLAUDE.md; nessuna procedura automatica lo verifica. - Nessuna prova del comportamentoNon ci sono valutazioni automatiche delle skill: la qualità si misura sulle segnalazioni degli utenti, che devono portare una riproduzione.
Dipendenze
Pacchetti in package-lock.json, con licenze e avvisi da deps.dev. Sono tutti strumenti di sviluppo.
Componenti principali e come vengono usati
| Componente | Licenza | Dove e perché | Valutazione |
|---|---|---|---|
@changesets/cli 2.31 | MIT | Numerazione delle versioni e registro delle modifiche | Solo sviluppo; non arriva a chi installa le skill |
@changesets/changelog-github 0.7 | MIT | Collegamenti a commit e segnalazioni nel registro delle modifiche | Solo sviluppo |
js-yaml 3.14 e 4.2 | MIT | Dipendenza indiretta di changesets | Avvisi di consumo eccessivo di CPU su YAML costruito apposta; raggiungibili solo nel rilascio, su file del repository |
Vulnerabilità note (OSV)
| Pacchetto | Versione | CVSS massimo | Identificativi |
|---|---|---|---|
js-yaml sviluppo | 4.2.0 | 7,5 | GHSA-2883-xcg3-v3hh js-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources GHSA-52cp-r559-cp3m js-yaml: YAML merge-key chains can force quadratic CPU consumption GHSA-5p4m-2wfm-xmqj JS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported |
js-yaml sviluppo | 3.14.2 | 7,5 | GHSA-2883-xcg3-v3hh js-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources GHSA-52cp-r559-cp3m js-yaml: YAML merge-key chains can force quadratic CPU consumption GHSA-5p4m-2wfm-xmqj JS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported GHSA-h67p-54hq-rp68 JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases |
sprintf-js sviluppo | 1.0.3 | — | GHSA-hp3w-g68c-fv3c |
Tutte le dipendenze (110)
| Pacchetto | Versione | Ecosistema | Licenza | Categoria | Esito | OSV |
|---|---|---|---|---|---|---|
spawndamnit sviluppo | 3.0.1 | NPM | SEE LICENSE IN LICENSE | Sconosciuta | Da verificare | |
@babel/runtime sviluppo | 7.29.7 | NPM | MIT | Permissiva | Compatibile | |
@changesets/apply-release-plan sviluppo | 7.1.1 | NPM | MIT | Permissiva | Compatibile | |
@changesets/assemble-release-plan sviluppo | 6.0.10 | NPM | MIT | Permissiva | Compatibile | |
@changesets/changelog-git sviluppo | 0.2.1 | NPM | MIT | Permissiva | Compatibile | |
@changesets/changelog-github sviluppo | 0.7.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/cli sviluppo | 2.31.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/config sviluppo | 3.1.4 | NPM | MIT | Permissiva | Compatibile | |
@changesets/errors sviluppo | 0.2.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/get-dependents-graph sviluppo | 2.1.4 | NPM | MIT | Permissiva | Compatibile | |
@changesets/get-github-info sviluppo | 0.8.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/get-release-plan sviluppo | 4.0.16 | NPM | MIT | Permissiva | Compatibile | |
@changesets/get-version-range-type sviluppo | 0.4.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/git sviluppo | 3.0.4 | NPM | MIT | Permissiva | Compatibile | |
@changesets/logger sviluppo | 0.1.1 | NPM | MIT | Permissiva | Compatibile | |
@changesets/parse sviluppo | 0.4.3 | NPM | MIT | Permissiva | Compatibile | |
@changesets/pre sviluppo | 2.0.2 | NPM | MIT | Permissiva | Compatibile | |
@changesets/read sviluppo | 0.6.7 | NPM | MIT | Permissiva | Compatibile | |
@changesets/should-skip-package sviluppo | 0.1.2 | NPM | MIT | Permissiva | Compatibile | |
@changesets/types sviluppo | 6.1.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/types sviluppo | 4.1.0 | NPM | MIT | Permissiva | Compatibile | |
@changesets/write sviluppo | 0.4.0 | NPM | MIT | Permissiva | Compatibile | |
@inquirer/external-editor sviluppo | 1.0.3 | NPM | MIT | Permissiva | Compatibile | |
@manypkg/find-root sviluppo | 1.1.0 | NPM | MIT | Permissiva | Compatibile | |
@manypkg/get-packages sviluppo | 1.1.3 | NPM | MIT | Permissiva | Compatibile | |
@nodelib/fs.scandir sviluppo | 2.1.5 | NPM | MIT | Permissiva | Compatibile | |
@nodelib/fs.stat sviluppo | 2.0.5 | NPM | MIT | Permissiva | Compatibile | |
@nodelib/fs.walk sviluppo | 1.2.8 | NPM | MIT | Permissiva | Compatibile | |
@types/node sviluppo | 12.20.55 | NPM | MIT | Permissiva | Compatibile | |
@types/node sviluppo | 25.9.3 | NPM | MIT | Permissiva | Compatibile | |
ansi-colors sviluppo | 4.1.3 | NPM | MIT | Permissiva | Compatibile | |
ansi-regex sviluppo | 5.0.1 | NPM | MIT | Permissiva | Compatibile | |
argparse sviluppo | 2.0.1 | NPM | Python-2.0 | Permissiva | Compatibile | |
argparse sviluppo | 1.0.10 | NPM | MIT | Permissiva | Compatibile | |
array-union sviluppo | 2.1.0 | NPM | MIT | Permissiva | Compatibile | |
better-path-resolve sviluppo | 1.0.0 | NPM | MIT | Permissiva | Compatibile | |
braces sviluppo | 3.0.3 | NPM | MIT | Permissiva | Compatibile | |
chardet sviluppo | 2.1.1 | NPM | MIT | Permissiva | Compatibile | |
cross-spawn sviluppo | 7.0.6 | NPM | MIT | Permissiva | Compatibile | |
dataloader sviluppo | 1.4.0 | NPM | BSD-3-Clause | Permissiva | Compatibile | |
detect-indent sviluppo | 6.1.0 | NPM | MIT | Permissiva | Compatibile | |
dir-glob sviluppo | 3.0.1 | NPM | MIT | Permissiva | Compatibile | |
dotenv sviluppo | 8.6.0 | NPM | BSD-2-Clause | Permissiva | Compatibile | |
enquirer sviluppo | 2.4.1 | NPM | MIT | Permissiva | Compatibile | |
esprima sviluppo | 4.0.1 | NPM | BSD-2-Clause | Permissiva | Compatibile | |
extendable-error sviluppo | 0.1.7 | NPM | MIT | Permissiva | Compatibile | |
fast-glob sviluppo | 3.3.3 | NPM | MIT | Permissiva | Compatibile | |
fastq sviluppo | 1.20.1 | NPM | ISC | Permissiva | Compatibile | |
fill-range sviluppo | 7.1.1 | NPM | MIT | Permissiva | Compatibile | |
find-up sviluppo | 4.1.0 | NPM | MIT | Permissiva | Compatibile | |
fs-extra sviluppo | 8.1.0 | NPM | MIT | Permissiva | Compatibile | |
fs-extra sviluppo | 7.0.1 | NPM | MIT | Permissiva | Compatibile | |
glob-parent sviluppo | 5.1.2 | NPM | ISC | Permissiva | Compatibile | |
globby sviluppo | 11.1.0 | NPM | MIT | Permissiva | Compatibile | |
graceful-fs sviluppo | 4.2.11 | NPM | ISC | Permissiva | Compatibile | |
human-id sviluppo | 4.2.0 | NPM | MIT | Permissiva | Compatibile | |
iconv-lite sviluppo | 0.7.2 | NPM | MIT | Permissiva | Compatibile | |
ignore sviluppo | 5.3.2 | NPM | MIT | Permissiva | Compatibile | |
is-extglob sviluppo | 2.1.1 | NPM | MIT | Permissiva | Compatibile | |
is-glob sviluppo | 4.0.3 | NPM | MIT | Permissiva | Compatibile | |
is-number sviluppo | 7.0.0 | NPM | MIT | Permissiva | Compatibile | |
is-subdir sviluppo | 1.2.0 | NPM | MIT | Permissiva | Compatibile | |
is-windows sviluppo | 1.0.2 | NPM | MIT | Permissiva | Compatibile | |
isexe sviluppo | 2.0.0 | NPM | ISC | Permissiva | Compatibile | |
js-yaml sviluppo | 4.2.0 | NPM | MIT | Permissiva | Compatibile | 3 |
js-yaml sviluppo | 3.14.2 | NPM | MIT | Permissiva | Compatibile | 4 |
jsonfile sviluppo | 4.0.0 | NPM | MIT | Permissiva | Compatibile | |
locate-path sviluppo | 5.0.0 | NPM | MIT | Permissiva | Compatibile | |
lodash.startcase sviluppo | 4.4.0 | NPM | MIT | Permissiva | Compatibile | |
merge2 sviluppo | 1.4.1 | NPM | MIT | Permissiva | Compatibile | |
micromatch sviluppo | 4.0.8 | NPM | MIT | Permissiva | Compatibile | |
mri sviluppo | 1.2.0 | NPM | MIT | Permissiva | Compatibile | |
node-fetch sviluppo | 2.7.0 | NPM | MIT | Permissiva | Compatibile | |
outdent sviluppo | 0.5.0 | NPM | MIT | Permissiva | Compatibile | |
p-filter sviluppo | 2.1.0 | NPM | MIT | Permissiva | Compatibile | |
p-limit sviluppo | 2.3.0 | NPM | MIT | Permissiva | Compatibile | |
p-locate sviluppo | 4.1.0 | NPM | MIT | Permissiva | Compatibile | |
p-map sviluppo | 2.1.0 | NPM | MIT | Permissiva | Compatibile | |
p-try sviluppo | 2.2.0 | NPM | MIT | Permissiva | Compatibile | |
package-manager-detector sviluppo | 0.2.11 | NPM | MIT | Permissiva | Compatibile | |
path-exists sviluppo | 4.0.0 | NPM | MIT | Permissiva | Compatibile | |
path-key sviluppo | 3.1.1 | NPM | MIT | Permissiva | Compatibile | |
path-type sviluppo | 4.0.0 | NPM | MIT | Permissiva | Compatibile | |
picocolors sviluppo | 1.1.1 | NPM | ISC | Permissiva | Compatibile | |
picomatch sviluppo | 2.3.2 | NPM | MIT | Permissiva | Compatibile | |
pify sviluppo | 4.0.1 | NPM | MIT | Permissiva | Compatibile | |
prettier sviluppo | 2.8.8 | NPM | MIT | Permissiva | Compatibile | |
quansync sviluppo | 0.2.11 | NPM | MIT | Permissiva | Compatibile | |
queue-microtask sviluppo | 1.2.3 | NPM | MIT | Permissiva | Compatibile | |
read-yaml-file sviluppo | 1.1.0 | NPM | MIT | Permissiva | Compatibile | |
resolve-from sviluppo | 5.0.0 | NPM | MIT | Permissiva | Compatibile | |
reusify sviluppo | 1.1.0 | NPM | MIT | Permissiva | Compatibile | |
run-parallel sviluppo | 1.2.0 | NPM | MIT | Permissiva | Compatibile | |
safer-buffer sviluppo | 2.1.2 | NPM | MIT | Permissiva | Compatibile | |
semver sviluppo | 7.8.4 | NPM | ISC | Permissiva | Compatibile | |
shebang-command sviluppo | 2.0.0 | NPM | MIT | Permissiva | Compatibile | |
shebang-regex sviluppo | 3.0.0 | NPM | MIT | Permissiva | Compatibile | |
signal-exit sviluppo | 4.1.0 | NPM | ISC | Permissiva | Compatibile | |
slash sviluppo | 3.0.0 | NPM | MIT | Permissiva | Compatibile | |
sprintf-js sviluppo | 1.0.3 | NPM | BSD-3-Clause | Permissiva | Compatibile | 1 |
strip-ansi sviluppo | 6.0.1 | NPM | MIT | Permissiva | Compatibile | |
strip-bom sviluppo | 3.0.0 | NPM | MIT | Permissiva | Compatibile | |
term-size sviluppo | 2.2.1 | NPM | MIT | Permissiva | Compatibile | |
to-regex-range sviluppo | 5.0.1 | NPM | MIT | Permissiva | Compatibile | |
tr46 sviluppo | 0.0.3 | NPM | MIT | Permissiva | Compatibile | |
undici-types sviluppo | 7.24.6 | NPM | MIT | Permissiva | Compatibile | |
universalify sviluppo | 0.1.2 | NPM | MIT | Permissiva | Compatibile | |
webidl-conversions sviluppo | 3.0.1 | NPM | BSD-2-Clause | Permissiva | Compatibile | |
whatwg-url sviluppo | 5.0.0 | NPM | MIT | Permissiva | Compatibile | |
which sviluppo | 2.0.2 | NPM | ISC | Permissiva | Compatibile |
File delle versioni bloccate analizzati: package-lock.json
Licenze e coerenza
Licenza unica MIT, coerente in tutte le fonti; nessuna dipendenza distribuita. Questo rapporto non è un parere legale.
Licenze del progetto
- MITLICENSE (Copyright 2026 Matt Pocock),
package.json, manifest del plugin e GitHub concordano. - Contenuto derivatoLa skill
prriproduce «quasi parola per parola» il menu di rappresentazioni visive della skillshow-medi Dex Horthy (repositoryhumanlayer/skills, MIT).CREDITS.mdattribuisce l'origine, ma non riporta la nota di copyright né il testo della licenza che la MIT chiede di conservare, e non fissa la revisione copiata. - Nessun accordo per i contributoriAi contributori non si chiede di cedere diritti con un accordo (CLA); non esiste una versione a pagamento accanto a quella aperta.
Distribuzione delle licenze
Per categoria di rischio
Compatibilità con la licenza del progetto (MIT)
| Licenza | Pacchetti | Esito | Obblighi principali |
|---|---|---|---|
| MIT | 95 | Compatibile | Nota di copyright e testo della licenza |
| ISC | 8 | Compatibile | Nota di copyright |
| BSD | 5 | Compatibile | Nota di copyright; clausola di non-endorsement (3-Clause) |
| PSF | 1 | Compatibile | Nota di copyright e licenza |
| Unknown | 1 | Da verificare | Da verificare |
Licenze dei pacchetti interni
| Licenza | # | Pacchetto |
|---|---|---|
| MIT | 1 | mattpocock-skills |
File di licenza trovati (1)
LICENSE | MIT | MIT License |
Categorie di licenza:
Risultati
Valutazione dell'analista, in ordine di gravità; sotto, i controlli automatici.
Valutazione
I plugin portano nell'agente istruzioni nuove senza revisione
Il README dichiara che il plugin per Claude Code «si aggiorna da solo» per impostazione predefinita e quello per Codex «a ogni avvio»; per Copilot propone "autoUpdate": true. Le istruzioni di una skill guidano un agente che lavora con i permessi dell'utente, quindi un cambiamento sul ramo principale arriva subito su ogni macchina. I tag di versione sono creati dal bot del rilascio senza firma e non risulta un meccanismo di verifica.
Raccomandazione: Installare con skills.sh, che copia file modificabili e si aggiorna a mano, oppure spegnere l'aggiornamento automatico e leggere il registro delle modifiche prima di aggiornare.
Il progetto dipende da una persona
506 commit su 553 a nome dell'autore, il resto con nomi di agenti, di account di prova o del bot; nessun altro sviluppatore riconoscibile fra gli autori; pull request riservate ai collaboratori. Le segnalazioni esterne entrano, ma diventano modifiche solo per mano dell'autore o dei suoi agenti.
Raccomandazione: Per chi adotta: tenere una copia delle skill usate, che la licenza MIT permette di mantenere da soli.
Nessun controllo automatico delle regole del repository
CLAUDE.md prescrive che ogni skill promossa compaia nel README e nel manifest, abbia una pagina di documentazione e sia citata dall'indice /ask-matt. Le tre procedure automatiche non verificano niente di questo; claude plugin validate . --strict e sync-plugin-version.mjs --check si lanciano a mano.
Raccomandazione: Al progetto: una procedura automatica che confronti cartelle, manifest, README e indice a ogni modifica.
Azioni GitHub indicate per etichetta
actions/checkout@v4, actions/setup-node@v4, changesets/action@v1 e actions/stale@v10 non sono fissate per hash. La procedura di rilascio ha permessi di scrittura su contenuti e pull request; le altre due partono da permessi vuoti e chiedono solo quelli che servono.
Raccomandazione: Al progetto: fissare le azioni per hash, con un bot che le aggiorni.
La skill pr non conserva la licenza del testo che riprende
skills/engineering/pr/CREDITS.md attribuisce il testo a show-me di Dex Horthy, ma mancano la nota di copyright e il testo MIT dell'originale, e la revisione copiata non è indicata.
Raccomandazione: Al progetto: aggiungere nella cartella della skill la nota di copyright, il testo della licenza e il commit d'origine.
Nomi generici che si sovrappongono
Skill come /code-review, /research, /prototype e /triage hanno lo stesso nome di comandi dell'agente o di altre raccolte. Il progetto ha deciso di non rinominarle (.out-of-scope/harness-name-collisions.md) e indica il nome con prefisso del plugin, per esempio /mattpocock-skills:research.
Raccomandazione: Usare il nome con prefisso, oppure rinominare cartella e campo name nella propria copia.
La protezione Git di misc/ si aggira facilmente
git-guardrails-claude-code blocca i comandi Git pericolosi confrontandone il testo con un elenco (git push, reset --hard e altri): una forma diversa dello stesso comando passa. La skill sta in misc/, che il progetto dichiara congelata e non mantenuta.
Script brevi, nessun segreto, nessuna dipendenza distribuita
Nessun segreto trovato; gli script delle skill non scaricano né eseguono codice esterno (wizard scrive in .env e nei segreti di GitHub solo i valori inseriti dall'utente); i 110 pacchetti npm servono solo al rilascio.
Controlli automatici
Dipendenze con vulnerabilità note
3 versioni di dipendenze hanno vulnerabilità note e non ancora risolte nel database OSV (2 con punteggio CVSS ≥ 7). Le più gravi: js-yaml 4.2.0 (CVSS 7,5), js-yaml 3.14.2 (CVSS 7,5), sprintf-js 1.0.3 (CVSS ?).
Valutazione dell'analista: Gli avvisi riguardano js-yaml, dipendenza indiretta di changesets usata solo nel rilascio per leggere file del repository: nessun input esterno, nessun impatto su chi installa le skill.
Raccomandazione: Aggiornare alle versioni corrette; dove non è possibile, documentare perché la vulnerabilità non riguarda il progetto.
Skill di terze parti senza file di licenza
Queste skill risultano di terze parti ma la loro cartella non contiene una licenza: pr.
Valutazione dell'analista: pr non è una skill di terzi: è una skill propria che riprende una parte di show-me (humanlayer/skills, MIT), con CREDITS.md ma senza nota di copyright e testo della licenza.
Raccomandazione: Copiare la licenza originale nella cartella della skill, o un file di avvisi con fonte e revisione.
Dipendenze con licenza non determinata
1 dipendenze senza licenza riconoscibile: spawndamnit 3.0.1 (SEE LICENSE IN LICENSE).
Valutazione dell'analista: spawndamnit dichiara «SEE LICENSE IN LICENSE»: è uno strumento di sviluppo di changesets, non distribuito; licenza non verificata a mano.
Raccomandazione: Verificare manualmente la licenza (file LICENSE nel pacchetto o nel repository sorgente).
Nessuna incompatibilità di licenza rilevata
Tutte le 109 dipendenze con licenza nota sono compatibili con MIT.
Rischi per chi adotta
Probabilità e impatto stimati per un singolo sviluppatore o un piccolo team.
| # | Rischio | Probabilità × Impatto | Mitigazione |
|---|---|---|---|
| 1 | Un'istruzione sbagliata o malevola arriva con l'aggiornamento automatico | bassa × alta | Copie con skills.sh o aggiornamento automatico spento; leggere il registro delle modifiche |
| 2 | Il comportamento di una skill cambia fra una settimana e l'altra | alta × media | Versione fissata; aggiornare con il registro delle modifiche davanti |
| 3 | Una skill del tracker scrive nel repository sbagliato | media × media | Configurare il tracker con /setup-matt-pocock-skills; dalla versione 1.3.2 il file del tracker che la configurazione scrive chiede all'agente di controllare il repository di destinazione |
| 4 | Sovrapposizioni di nome con comandi già presenti | alta × bassa | Nomi con prefisso del plugin o cartelle rinominate nella propria copia |
| 5 | L'autore smette o cambia direzione | media × media | Licenza MIT: si mantiene da soli la copia delle skill usate |
Alternative
Altre strade per ottenere parte delle stesse funzioni.
Processi completi
GSD, BMAD e Spec-Kit, citati nel README, guidano l'intero ciclo di lavoro; non sono stati analizzati qui.
Raccolte più grandi
gstack (recensito nella stessa rubrica) offre 72 skill e molto codice attorno, ma installa hook globali e si aggiorna eseguendo codice nuovo.
Copie selezionate
Prendere poche skill e mantenerle nel proprio metodo, come fa Senso: si perde l'aggiornamento, si guadagna il controllo.
Raccomandazioni
Per chi valuta di adottarlo, in ordine di impatto.
| # | Azione | Ambito | Sforzo |
|---|---|---|---|
| 1 | Installare con skills.sh, o spegnere l'aggiornamento automatico del plugin, e aggiornare dopo aver letto il registro delle modifiche | Filiera | Basso |
| 2 | Partire da poche skill del percorso principale (/grill-with-docs, /to-spec, /tdd, /code-review) e da /ask-matt per orientarsi | Adozione | Basso |
| 3 | Lanciare una volta /setup-matt-pocock-skills per ogni repository e controllare che il tracker scelto sia quello del proprio progetto | Integrazione | Basso |
| 4 | Usare i nomi con prefisso del plugin dove le skill si sovrappongono a comandi già presenti | Integrazione | Basso |
| 5 | Al progetto: verificare in automatico l'allineamento fra cartelle, manifest, README e indice | Verifica | Medio |
| 6 | Al progetto: fissare le azioni GitHub per hash e completare l'attribuzione della skill pr | Filiera | Basso |
Metodo e limiti
- Relazione con chi scrive: Improve & Manage usa, attraverso Senso, copie di dieci skill di questo repository prese al commit
49dd158del 9 ottobre 2026 (fra cuigrilling,domain-modeling,to-spec,to-tickets,triage,writing-for-agents). Chi scrive conosce e usa il progetto che recensisce. - Sorgente analizzata: una copia locale del repository al commit indicato nel blocco «Versione analizzata», letta senza modificarla: README,
SCOPE.md,CLAUDE.md,CONTRIBUTING.md, le due decisioni in.agents/adr/,.out-of-scope/, i manifest del plugin, le tre procedure automatiche, tutti gli script, il registro delle modifiche e le skill principali per intero. - Storia: autori contati su tutti i 553 commit, unioni comprese. Il blocco «Versione analizzata» conta un solo autore umano: «Claude», «Claude Sonnet 5» e «Remote Box Agent» sono riconosciuti come agenti e «Test» come account di prova, mentre «remote-box» è escluso per nome (conteggio rifatto il 5 novembre 2026, sullo stesso commit, con la versione 0.1.20 di Senso); gli ultimi 20 commit portano una firma, non verificata qui perché manca
gpg. Il valore di OpenSSF Scorecard non è disponibile per questo repository. - Le skill non sono state provate in una sessione: il giudizio sulle istruzioni viene dalla lettura, non dall'uso misurato.
- Non è stato verificato quale revisione del repository distribuisca il marketplace ufficiale di Claude Code.
- Licenza di
spawndamnitnon verificata a mano. - Questo rapporto non è un parere legale.