Skill: skill-provenance

Sổ nguồn gốc + toàn vẹn cho từng skill. orca-sec-scans quét vuln/secret trong NỘI DUNG; skill này trả lời hai câu hỏi khác của chuỗi cung ứng (supply-chain): skill từ đâu tới và có bị sửa lén sau khi cài không. Store là fdk/skills.provenance.json (nguồn + ngày ghi + sha256 mọi file trong skills/<name>/). Verify bằng cách tính lại checksum và so với sổ — lệch = MODIFIED, có skill trên đĩa mà chưa ghi sổ = UNTRACKED.

When to use

• Vừa cài / chưng cất một skill từ nguồn ngoài (marketplace, repo khác, distill trong phiên dự án khác) → record để chốt nguồn + checksum.
• Nghi ngờ / muốn kiểm skill có bị sửa ngoài luồng không → check.
• Hỏi "skill này từ đâu ra", "audit nguồn skill", "checksum skill", "supply-chain skill".
• CI muốn chặn skill lạ hoặc skill bị sửa mà chưa cập nhật sổ.