技能 copilot-coding-agent

📦

copilot-coding-agent

Name: copilot-coding-agent
Author: supercent-io

v1.0.0 内容修订 r1 中风险 ⚙️ 外部命令🌐 网络访问

自动化 Copilot Issue-to-PR 工作流

团队需要一种可控方式，将已审查的 GitHub issue 委派给 Copilot Coding Agent。此技能记录了一种基于标签的工作流，用于分配 Copilot、启动实现并跟踪草稿拉取请求。

支持: Claude Codex Code(CC)

⚠️ 50 差

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "copilot-coding-agent" from https://skillstore.io/skills/supercent-io-copilot-coding-agent.md and its manifest at https://skillstore.io/api/skills/supercent-io-copilot-coding-agent/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/supercent-io-copilot-coding-agent.md 已签名 manifest GET /api/skills/supercent-io-copilot-coding-agent/manifest 已签名 lockfile GET /api/skills/supercent-io-copilot-coding-agent/lockfile

测试它

正在使用“copilot-coding-agent”。开发者询问某个 issue 是否已准备好分配给 Copilot。

预期结果:

给出就绪状态，并指出缺失的上下文。
建议验收标准和测试期望。
建议仅在审查完成后再添加标签。

正在使用“copilot-coding-agent”。维护者想要设置仓库自动化。

预期结果:

提供 Copilot 访问权限、GitHub CLI 身份验证、token 范围和工作流批准的检查清单。
提醒在运行设置脚本之前检查其内容。
提供草稿拉取请求和 CI 检查的验证步骤。

正在使用“copilot-coding-agent”。团队想要处理一个小型技术债队列。

预期结果:

制定分诊计划，优先选择简单且范围明确的 issue。
在应用标签之前加入 dry-run 审查步骤。
制定用于监控草稿拉取请求、审查者和失败检查的计划。

安全审计

中风险

v4 • 2026/7/7 打开版本化报告

Most static findings were markdown backticks, code fences, or documentation links rather than hidden execution or runtime network access. The real concerns are privileged GitHub automation: repo-scoped token handling, local shell scripts, workflow deployment, and bulk labeling that can trigger Copilot draft pull requests. Publish with clear warnings about token scope, script review, and human approval controls.

已扫描文件

249

分析行数

复核项

已忽略误报

已确认安全问题 (2)

中

SKILL.md:33 SKILL.md:45 SKILL.md:72-74

Repo-Scoped Token Used for Automation

The skill requires a Personal Access Token with repo scope, registers COPILOT_ASSIGN_TOKEN as a secret, and exports the token before running an assignment script. This is privileged credential handling and could affect repository contents if misused.

The cited lines explicitly require a repo-scoped PAT, register it as a repository secret, and export it for a shell script. The risk is credential exposure or overbroad repository access, not hidden exfiltration.

中

SKILL.md:16-17 SKILL.md:55-60 SKILL.md:170-174

Automated Labels Trigger Code-Producing Pull Requests

The skill instructs users to add the ai-copilot label so GitHub Actions assigns Copilot, which creates branches and draft pull requests. Bulk labeling can start multiple automated code changes without per-issue review if used carelessly.

The cited lines describe the label-triggered workflow and include a bulk-label command. This is a clear business-logic risk for automated repository changes, although the workflow still produces draft pull requests.

能力复核项 (4)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

中

SKILL.md:39-42

Ruby/shell backtick execution

```bash

This range documents running a local setup shell script that registers a secret and deploys a workflow. The static label is imprecise, but following the instruction executes shell code with repository privileges.

中

SKILL.md:72-75

Ruby/shell backtick execution

```bash

This range exports COPILOT_ASSIGN_TOKEN and runs a local assignment script. That is privileged credential use through a shell command, even though it is not Ruby backtick execution.

中

SKILL.md:170-175

Ruby/shell backtick execution

```bash

This range contains a bulk command pipeline that edits GitHub issues and applies the ai-copilot label. It can trigger repository automation at scale, so the external command risk is real.

中

SKILL.md:174

xargs command (can execute arbitrary commands)

| xargs -I{} gh issue edit {} --add-label ai-copilot

The xargs command executes gh issue edit for every issue number returned by the previous command. The arguments appear constrained to issue numbers, but it still performs bulk repository changes.

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/supercent-io-copilot-coding-agent/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/supercent-io-copilot-coding-agent/security.svg)](https://skillstore.io/skills/supercent-io-copilot-coding-agent?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/supercent-io-copilot-coding-agent?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/supercent-io-copilot-coding-agent/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/supercent-io-copilot-coding-agent.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

supercent-io. (2026). copilot-coding-agent security audit report (audit version 4) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/supercent-io-copilot-coding-agent/audits/4

BibTeX 引用

@techreport{supercent-io-supercent-io-copilot-coding-agent-2026,
  author = {supercent-io},
  title = {copilot-coding-agent security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/supercent-io-copilot-coding-agent/audits/4},
  note = {Author version 1.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "copilot-coding-agent security audit report (audit version 4)"
version: "1.0.0"
type: report
authors:
  - name: "supercent-io"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/supercent-io-copilot-coding-agent/audits/4"
identifiers:
  - type: other
    value: "skillstore:supercent-io-copilot-coding-agent:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 高

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

委派已审查的待办 issue

将已审查的 GitHub issue 用作 Copilot 生成草稿拉取请求的队列。

准备实现工单

创建清晰的 issue，以便在范围和验收标准获批后为 Copilot 添加标签。

维护仓库自动化

为受控的 Copilot 分配设置标签、工作流触发器、secrets 和 CI 检查。

试试这些提示

创建适合 Copilot 的 issue

帮我起草一个足够具体、可供 Copilot Coding Agent 处理的 GitHub issue。包括范围、验收标准、需要检查的文件以及测试期望。

审查现有 issue

审查这个 GitHub issue，并告诉我它是否已准备好添加 ai-copilot 标签。在分配之前列出缺失的需求和风险。

规划仓库设置

指导我为此仓库设置基于标签的 Copilot 分配。包括所需权限、secrets、工作流批准步骤和回滚检查。

设计受控的 Copilot 队列

设计一个安全流程，用于批量委派低风险待办 issue 给 Copilot。包括分诊规则、dry-run 检查、CI 门禁和人工审查要求。

最佳实践

在应用 ai-copilot 标签之前，审查每个 issue 的范围、验收标准和测试指导。
使用可用的最低权限 token，并在设置或事件响应工作后轮换它。
对每个 Copilot 创建的拉取请求都要求人工审查、CI 批准和回滚规划。

避免

不要在维护者审查实现范围之前，为含糊或高风险的 issue 添加标签。
不要在检查设置或分配脚本的内容及其预期仓库变更之前运行它们。
不要在没有 dry run、速率限制以及草稿拉取请求监控计划的情况下批量为 issue 添加标签。

常见问题

这个技能会自动化什么？

它记录了一种 GitHub issue 工作流，其中 ai-copilot 标签会分配 Copilot Coding Agent 并启动一个草稿拉取请求。

它会直接编写应用程序代码吗？

不会。它指导仓库自动化，请求 GitHub Copilot Coding Agent 在草稿拉取请求中创建代码变更。

需要哪些工具？

你需要 GitHub Copilot Coding Agent 访问权限、已启用的仓库设置、GitHub CLI 身份验证以及适当的仓库权限。

是否需要 personal access token？

该技能描述了用于分配自动化的仓库范围 token。使用支持的最小范围 token，并将其作为 secret 保护。

这可以与 Claude、Codex 或 Claude Code 一起使用吗？

可以。该技能内容兼容 Claude、Codex 和 Claude Code，可作为 GitHub 工作流的操作指导。

Copilot 打开草稿 PR 后，审查者应该检查什么？

审查代码质量、安全影响、测试、权限、CI 结果，以及变更是否符合原始 issue。

开发者详情

作者

supercent-io

许可证

MIT

作者版本

v1.0.0

Skillstore 修订

仓库

https://github.com/supercent-io/skills-template/tree/main/.agent-skills/copilot-coding-agent/

引用

f93e9bb0daca99badb6a7e574b97737155d57cb3

维护新鲜度

2026/7/18

使用量

7 次下载 · 124 次浏览

文件结构

📄 SKILL.md

📄 SKILL.toon

copilot-coding-agent

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (2)

风险因素

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

委派已审查的待办 issue

准备实现工单

维护仓库自动化

试试这些提示

最佳实践

避免

常见问题

开发者详情