合規
驗證代理 skill 的來源、版本與授權
來源與授權複核，在代理 skill 進入儲存庫或執行環境前，辨識來源、作者、版本、完整性、允許用途與散布義務。
流程
照這個順序做。
- 確認確切來源 URL 或儲存庫、版本、標籤、取得日期、作者或組織，以及擬議的使用、修改與發布脈絡。
- 檢查授權檔、SPDX metadata、通知、內含素材、腳本、模板與依賴，記錄精確識別碼與任何衝突聲明。
- 把授權權限與條件對應到預定用途，檢查署名、通知、copyleft、非商用、特定領域與再散布義務。
- 在可用時驗證版本連續性、簽章或 checksum、儲存庫歷史、維護者身分，以及取得內容是否匹配複核版本。
- 記錄核准、拒絕或條件式使用、必要通知、義務、複核者與未解決法律或來源問題，不提供法律建議。
- 保留證據包，為來源或授權變更設定重新複核觸發，並防止未核准 skill 進入共享 runtime。
- 返回來源與授權決策、義務、證據、開放問題與未解決風險，接受條款、發布或散布前先暫停。
先準備
貓會向你要的輸入。
- skill 來源與精確版本
- 預定用途與發布脈絡
- 內含檔案與依賴清單
- 複核政策與合格負責人
路由器 + 一份 playbook
先路由。只選一份。
Cat Paw 每次任務只載入一份 playbook，不合併多份。先走這個路由器；其餘路徑是此 workflow 可檢查的候選。
- 路由器：
agent-skill-catalog-pack skills/agent-skill-catalog-pack/agent-skill-provenance-license-review/SKILL.md
界線
界線跟著提示一起走。
- 開始前先核實實際的工具、帳戶、權限與工作區；絕不聲稱擁有不可用的工具、帳戶、來源或能力。
- 私有程式碼、成品、即時探測或非公開資料請使用 Latch/target-workspace；若無法存取，就在邊界停下並回報阻礙，不可改用猜測。
- 任何有後果的外部行動前先暫停並取得明確核准；回傳證據、未解決風險、假設，以及仍在等待核准的行動。
完成代表
一個可核對的終點。
來源與授權複核把 skill 的精確版本連到來源證據、授權條款、義務、核准狀態、重新複核觸發與未解決風險。
來源
這個流程從哪來。
- github.com/sickn33/agentic-awesome-skills/tree/7b534bc15d833baf3bc98b3ca4fb23eda48342bb/
- docs.github.com/en/repositories/managing-your-repositorys-settings-and-features/customizing-your-repository/licensing-a-repository
- spdx.org/licenses/
來源確立 workflow 的模式。若有 Reddit 或社群貼文，視為實務軼事，不是普遍事實。
