Rôle de ce skill dans le repo
Ce skill, nommé underdeclared-agent, est un artefact de test situé dans tests/fixtures/mcp_underdeclared_skill/. Il ne s'agit pas d'un skill fonctionnel destiné à être installé ou utilisé directement : c'est une fixture conçue pour alimenter la suite de tests automatisés de SkillSpector, le scanner de sécurité développé par NVIDIA.
Ce que représente ce skill
Le SKILL.md se présente comme un assistant générique (« Helps users with various tasks »), sans déclaration explicite des outils MCP qu'il utiliserait réellement. Ce caractère intentionnellement vague ou incomplet correspond au pattern de vulnérabilité MCP least privilege que SkillSpector est capable de détecter : un skill qui ne déclare pas précisément ses permissions ou ses dépendances d'outils peut dissimuler un périmètre d'action bien plus large que ce que l'utilisateur anticipe.
Utilisation dans le contexte de SkillSpector
Dans la pipeline d'analyse de SkillSpector, cette fixture sert de cas de référence pour vérifier que le moteur de détection identifie correctement les skills sous-déclarés. Les tests automatisés s'appuient sur ce dossier pour s'assurer que les règles relatives au principe de moindre privilège MCP fonctionnent comme attendu.
Ce skill n'a pas vocation à être copié, adapté ou déployé : il fait partie de l'infrastructure de test interne du projet et illustre précisément le type de contenu que SkillSpector conseille de ne pas installer sans analyse préalable.