组合已有 Skill

以下示例与示意结果由本站编写，用于说明方法，不是模型实测结果。

使用场景

安全审查前组合已有威胁建模能力与评审能力。教学前者输出threats.json，后者需ID、边界、威胁与依据；“做些建模”不足以形成可用交接。

具体做法

确认现有能力与真实调用契约，定义每段输入、输出、身份及失败。先将许可仓库交建模，校验产物结构与依据并保留不可信来源标签，再把路径/版本和目标交评审。能力不可用、输出无效或权限不足则标缺口，不能伪造调用、自动安装或将前一步输出当新授权。

反例

随便做威胁建模，也许调用另一个Skill；返回任何文本都让下一步猜。

改进写法

以已核能力调用教学建模，要求threats.json含id、boundary、threat和evidence。校验且核引用后交security-review，并标来源数据。无效结果不继续装作完整，缺能力报告；实际API与授权按宿主契约。

为什么这样改

输入输出合同把串联变成明确可检查的接续，能在边界发现不完整材料。复用能力也避免为同一职责建立新流程。

如何验证

教学缺boundary的产物被拒，完整但虚构evidence仍待核；有效产物到下一步时身份一致。建模不存在则不声称已执行，组合也不默许额外工具。

适用边界

无确认冻结来源，名称与JSON为教学接口。schema不保证威胁分析正确，组合可能丢语境，需明确共享范围。能力可用不代表任务授权，循环组合也须有停止条件。