Skulto Release Cert

• Antes de etiquetar una nueva versión de skulto o actualizar el tap de Homebrew, para confirmar que todos los controles de calidad están en verde.
• Cuando necesitas un proceso determinista, paso a paso y ejecutable por un agente para verificar el comportamiento de la CLI en escenarios de estado activo, entorno limpio, migración y reconciliación.
• Cuando deseas un análisis de seguridad automatizado (secretos codificados de forma fija, inyección SQL, inyección de comandos, archivos de credenciales) combinado con una lista de verificación de revisión manual antes de publicar.
• Cuando incorporas a un nuevo certificador (humano o agente) que necesita una referencia canónica y autocontenida sobre lo que significa "listo para publicación" en skulto.

• Si no estás trabajando en el proyecto skulto — esta habilidad está estrechamente vinculada al código base de skulto, sus comandos CLI y su esquema de base de datos.
• Si solo necesitas una prueba rápida de humo; esto es una ejecución de certificación completa y es deliberadamente exhaustiva y consume tiempo.
• Si el binario de skulto aún no ha sido compilado — el Pase 1 debe completarse con éxito antes de que los pases posteriores sean significativos.

La certificación se divide en tres pasadas secuenciales: pruebas unitarias, lint y compilación cruzada (Pasada 1); un recorrido completo de la CLI (Pasada 2); y una auditoría de seguridad (Pasada 3). Las tres deben estar en verde antes de que se emita un veredicto CERTIFIED FOR RELEASE.

El Paso 1 compila de forma cruzada el binario de skulto para cuatro objetivos — linux/amd64, linux/arm64, darwin/amd64 y darwin/arm64 — con CGO_ENABLED=0. Los cuatro deben completarse correctamente antes de continuar.

El Paso 2 cubre el estado en caliente, el ciclo de vida desde cero, la migración, la reconciliación, la limpieza de habilidades obsoletas, los flujos de análisis de seguridad, los metadatos MCP, la salida sin emojis y la lógica de "recordar ubicaciones de instalación". Se toma una instantánea del estado antes de cualquier prueba y se verifica mediante una diferencia después de todas las pruebas, garantizando que el proceso de Skulto Release Cert no sea destructivo.

Múltiples subsecciones de Pass 2 verifican que el escáner de seguridad integrado de Skulto se comporte correctamente: las skills limpias se instalan de forma silenciosa, las skills en cuarentena se bloquean o generan advertencias, y los resultados del análisis aparecen durante los flujos add, pull, ingest, instalación por URL, sync y save.

Pasa 3 ejecuciones de escaneos basados en grep para detectar secretos codificados de forma fija, interpolación de cadenas SQL, patrones de inyección de comandos y archivos de credenciales confirmados, complementados por una lista de verificación de revisión manual que cubre consultas parametrizadas, uso de exec.Command, alcance de os.RemoveAll e inyección de claves PostHog mediante ldflags.

Después de los tres pases, la habilidad genera una tabla de certificación formateada que enumera cada verificación con el estado PASS/FAIL/SKIPPED/CLEAN/FOUND, la versión, la fecha y el certificador, culminando en un veredicto claro de CERTIFIED FOR RELEASE o BLOCKED.

Un agente de IA ejecuta los tres pases completos contra un binario skulto compilado, trabajando a través de cada paso numerado y fila de tabla, y produce el resumen de certificación final sin intervención humana (excepto los pasos de terminal interactivos marcados explícitamente como MANUAL-only).

Antes de actualizar la fórmula del tap de Homebrew para apuntar a una nueva versión, un desarrollador o agente ejecuta esta habilidad desde la raíz del repositorio de skulto para confirmar que la compilación está limpia, todas las rutas de la CLI se comportan según lo esperado y no existen regresiones de seguridad.

Tras cambios significativos en la lógica de instalación, escaneo o reconciliación de Skulto Release Cert, el recorrido de la CLI pasa (2a–2t) y detecta regresiones en toda la superficie de comandos, incluyendo casos límite como registros de base de datos obsoletos, bloqueo de habilidades en cuarentena y el comportamiento de ubicación de instalación recordada.

Un nuevo miembro del equipo o agente que no esté familiarizado con los criterios de lanzamiento de Skulto puede utilizar esta habilidad como referencia única y autoritativa sobre qué constituye una compilación lista para envío, incluyendo los problemas conocidos preexistentes que están siendo rastreados pero que no son bloqueantes.