Une commande pour votre agent

La règle du jeu

Des idées, si rien ne vient

• Écrire les tests manquants d'un fichier.
• Rédiger le message de commit à partir du diff.
• Tenir le changelog à jour.
• Mettre à jour une dépendance et corriger ce qui casse.
• Trier les alertes d'un scanner (SonarQube, npm audit, pip-audit).

Choisir la forme

Partir d'un exemple

Fichiers de prompt

• GitHub, bibliothèque de personnalisation : « Generate unit tests », « Review code », « Create README », « Document API ».
• VS Code, Fichiers de prompt : le format et les champs de l'en-tête.

Skills

• awesome-copilot (catalogue des skills) : conventional-commit, commit-message-storyteller, gitmoji pour les messages de commit.
• anthropics/skills : des skills d'exemple et un modèle de départ (template/).
• agentskills.io : la spécification du format ouvert. Un dossier, un fichier SKILL.md, un en-tête avec name et description. La description décide du moment où l'agent charge la skill : soignez-la.

Hooks

• awesome-copilot/hooks : secrets-scanner, tool-guardian, dependency-license-checker, session-logger, session-auto-commit.
• Les deux hooks de la fiche de l'atelier 2 : un hook de fin qui lance les tests, un hook qui interdit les fichiers .env.
• GitHub, référence des hooks : les événements, les entrées et les réponses possibles (VS Code et Copilot CLI).

Avec Claude Code

• Skills et hooks de Claude Code. Les plugins de anthropics/skills s'installent avec /plugin marketplace add anthropics/skills.

Construire et lancer

Demandez à l'agent d'adapter l'exemple choisi à votre projet, puis lancez la commande deux fois, sur deux cas différents. Relisez chaque résultat : c'est vous qui le committez.

Voici un exemple de [fichier de prompt / skill / hook] : [coller l'exemple ou son lien]. Adapte-le à ce projet pour cette tâche : [la tâche répétée]. Respecte AGENTS.md. Montre-moi le fichier avant de l'écrire, puis dis-moi comment le lancer.

Exemple complet · Trier les alertes SonarQube

L'idée « trier les alertes d'un scanner », pas à pas. Il faut Docker et environ 2,5 Go d'images. Les commandes sont écrites pour PowerShell ; sous macOS ou Linux, remplacez ${PWD} par "$PWD" et curl.exe par curl.

À la main, une fois

docker run -d --name sonarqube -p 9000:9000 sonarqube:community

2 · Configurer. Ouvrez http://localhost:9000, connectez-vous en admin / admin et changez le mot de passe. Créez un projet local (clé demo), puis un jeton : Mon compte › Sécurité, type « Global Analysis Token ». Gardez-le dans une variable d'environnement, jamais dans un fichier du dépôt :

$env:SONAR_TOKEN = "collez-le-jeton-ici"

À chaque analyse

docker run --rm -e SONAR_HOST_URL=http://host.docker.internal:9000 -e SONAR_TOKEN -v "${PWD}:/usr/src" sonarsource/sonar-scanner-cli "-Dsonar.projectKey=demo"

curl.exe -u "${env:SONAR_TOKEN}:" "http://localhost:9000/api/issues/search?components=demo&ps=500" -o sonar.json

Voici l'export des alertes SonarQube (sonar.json).
Pour chaque alerte : vrai ou faux positif, gravité réelle dans CE projet
(justifie en citant le fichier et la ligne), correctif proposé.
Classe le résultat par gravité. Ne modifie aucun fichier.

Puis automatiser : une commande /scan-securite

Les étapes 4 à 6 se répètent à chaque analyse : c'est exactement ce que l'atelier vous demande de ranger dans le dépôt. Une skill suffit ; l'agent lance lui-même les commandes et vous demande l'autorisation à chaque fois. Le serveur et le jeton restent à préparer à la main (étapes 1 à 3).

---
name: scan-securite
description: Analyse le projet avec SonarQube, exporte les alertes et les trie. À utiliser quand on demande un scan de sécurité ou un tri des alertes SonarQube.
---
1. Vérifie que http://localhost:9000/api/system/status renvoie "UP". Sinon, arrête-toi et dis-le.
2. Vérifie que la variable d'environnement SONAR_TOKEN existe. Ne l'affiche jamais et ne l'écris dans aucun fichier.
3. À la racine du projet, lance l'analyse (adapte la syntaxe au shell, PowerShell ou bash) :
   docker run --rm -e SONAR_HOST_URL=http://host.docker.internal:9000 -e SONAR_TOKEN -v "${PWD}:/usr/src" sonarsource/sonar-scanner-cli "-Dsonar.projectKey=demo"
4. Exporte les alertes dans sonar.json avec l'API api/issues/search (composant demo, ps=500), authentifié par SONAR_TOKEN.
5. Pour chaque alerte : vrai ou faux positif, gravité réelle dans ce projet (fichier et ligne), correctif proposé. Classe par gravité.
6. Ne modifie aucun fichier du code. Ajoute sonar.json au .gitignore s'il n'y est pas.

Lancez-la avec /scan-securite, dans VS Code, en Copilot CLI ou dans Claude Code. Dans VS Code, un fichier de prompt .github/prompts/scan-securite.prompt.md avec le même contenu marche aussi.

Critères de réussite

• La commande est rangée dans le dépôt, au bon emplacement pour votre agent.
• Elle a tourné au moins deux fois sur votre projet.
• Vous avez relu chaque résultat.
• Elle est commitée, sans secret.
• Votre démo d'une minute est prête : la tâche, la commande, ce qu'elle produit.

En cas de blocage

Bonus · La même tâche dans la CI

Un workflow GitHub Actions lance l'agent à chaque PR, à chaque tag ou à heure fixe. Pas besoin de clé d'API.