NVIDIA Skill Card Generator

ANÁLISE EDITORIAL

Imagem editorial: ilustração exclusiva do Bastidores da IA. Não é uma captura de tela nem um selo de aprovação da NVIDIA.

A NVIDIA Skill Card Generator serve para uma tarefa específica: criar ou atualizar um rascunho de ficha de governança para uma Agent Skill que já existe. Ela não cria a Skill de origem, não assina o pacote, não publica nada e não substitui a revisão humana de segurança, licença ou responsabilidade.

Origem e versão verificadas

A fonte consultada foi o repositório oficial NVIDIA/skills, no commit eeeff9d8436e757a650bd20e19ae5ef99a177f70. O catálogo da NVIDIA descreve suas Skills como instruções verificadas para Codex, Claude Code e outros agentes compatíveis com o padrão Agent Skills. A pasta auditada inclui o arquivo SKILL.md, referências, três scripts Python, dados de avaliação, um benchmark, uma ficha já preenchida e uma assinatura OMS destacada do diretório.

O que ela faz na prática

1. Recebe o caminho de uma pasta de Skill existente.
2. Executa uma descoberta limitada dos arquivos e sinais do repositório.
3. Orienta a criação de um contexto JSON fundamentado apenas nas evidências encontradas.
4. Renderiza uma ficha em Markdown a partir de um template Jinja.
5. Exige revisão humana e valida se marcadores pendentes de verificação foram removidos.

O resultado esperado é um rascunho de skill card com finalidade, proprietário, licenças, dependências, credenciais exigidas, saídas, limitações, riscos e evidências. Isso organiza a conversa de governança, mas não transforma uma análise incompleta em aprovação automática.

Compatibilidade e pré-requisitos

A própria Skill declara compatibilidade com qualquer agente capaz de executar scripts Python e gravar arquivos. Para o fluxo completo, são necessários Python 3 e a biblioteca jinja2. O repositório oficial documenta instalação pelo Skills CLI; para Codex, o comando direcionado é npx skills add NVIDIA/skills --skill skill-card-generator --agent codex. A instalação deve começar em um projeto de teste e em uma versão fixada.

Permissões e riscos que merecem atenção

O cabeçalho da Skill limita leitura ao diretório-alvo, às próprias referências e aos próprios scripts. A escrita fica restrita ao diretório-alvo e a uma pasta temporária. A execução em shell é declarada apenas para discover_assets.py, render_card.py e validate_submission.py.

Na auditoria local, os scripts foram preservados junto com a documentação e as licenças. Ainda assim, a Skill pode ler muitos arquivos do diretório escolhido e criar ou atualizar uma ficha dentro dele. Por isso, aponte apenas para a Skill que será analisada, mantenha credenciais fora do escopo e confira o diff produzido. O próprio fluxo manda ignorar arquivos de autenticação e mascarar valores com aparência de segredo, mas esse controle não elimina a necessidade de uma pasta de teste.

Licença e download local

O repositório usa licença dupla: CC BY 4.0 para documentação e Skills, e Apache 2.0 para código. O download hospedado pelo Bastidores da IA preserva a pasta original da Skill sem alterações, acrescenta um registro de origem fora da pasta assinada e inclui as duas licenças integrais. Não há credenciais no pacote; há código Python, portanto a leitura antes da execução continua obrigatória.

Como validar sem confundir integridade com segurança

A NVIDIA inclui skill.oms.sig e documenta uma verificação com certificado próprio. Uma assinatura válida mostra que os arquivos conferidos correspondem ao material assinado. Ela não prova que o conteúdo é seguro para todo cenário. A ordem sensata é: verificar origem e integridade, revisar os scripts e permissões, testar em cópia, conferir a ficha produzida e só então decidir se a Skill cabe no fluxo.

Fontes

• Pasta oficial da Skill no commit auditado
• Catálogo e instruções oficiais da NVIDIA
• Verificação de Agent Skills assinadas
• Especificação Agent Skills