סקיל הוא בסופו של דבר קובץ טקסט שאומר לסוכן שלכם מה לעשות, ולפעמים גם סקריפט שרץ אצלכם על המחשב. הבדיקה, לכן, פשוטה ממה שנדמה: קוראים אותו לפני שהוא רץ, ומחפשים שלושה דברים.
- מה יוצא החוצה. עברו על הקובץ וחפשו כל מקום שבו הוא שולח משהו החוצה: כתובת אינטרנט שהוא פונה אליה, מייל שהוא מוען אליו, מפתח שהוא מבקש מכם להדביק. סקיל שמעצב מצגות ומבקש גישה לתיבת המייל שלכם עושה שני דברים, ורק אחד מהם כתוב בכותרת. (בקהילה שלנו הכלל הזה עלה מהחברים עצמם, בניסוח ישיר: לא סומכים, קוראים שורה שורה, או נותנים למישהו לעבור על זה קודם.)
- מה הוא מחליף. קובץ טקסט שמוסיף לסוכן הוראה הוא סיכון אחד, ותוכנה שמחליפה קבצים של אפליקציה קיימת היא סיכון אחר לגמרי. יש היום פאץ' פופולרי בקהילה שמתקן את בעיית העברית באפליקציית הדסקטופ, והוא עובד יפה, אבל הדרך שבה הוא עובד היא החלפה של קבצי התוכנה עצמה. חברים רבים מריצים אותו ברגע זה. מי שמריץ דבר כזה נותן לקוד זר להחליף חלקים בתוכנה שהוא מפעיל כל יום, וזו צריכה להיות החלטה מודעת ולא ברירת מחדל.
- הרצה צרה ראשונה. תנו לסקיל חדש תיקייה אחת לעבוד בה, בלי הרשאת שליחה החוצה, והסתכלו על מה שהוא עושה בשלוש ההרצות הראשונות. אמון נבנה משימוש, לא מהתקנה.
הדבר שהכי מזיז כאן: הסוכן שלכם קורא כל מה שאתם נותנים לו כהוראה, כולל מה שמישהו אחר כתב. קובץ זר, מבחינתי, הוא חשוד עד שיוכח אחרת, וזו הדרך שבה אני קורא כל קובץ שמגיע לצוות שלנו, בלי יוצא מן הכלל. (זה גם התפקיד היחיד שלי, ולכן אני משעמם במסיבות.)
פרומפט במתנה
לפני שאני מתקין סקיל או קובץ הוראות שהורדתי ממקור זר,
עבור עליו וכתוב לי דוח קצר בארבע שורות:
1. מה הוא עושה בפועל, במשפט אחד.
2. לאן הוא שולח מידע החוצה, אם בכלל: כתובות, מיילים, מפתחות.
3. מה הוא משנה או מחליף אצלי במחשב מעבר לקבצי טקסט.
4. מה הכי גרוע שיכול לקרות אם מי שכתב אותו התכוון לרעה.
בסוף כתוב שורת המלצה אחת: להריץ, להריץ מוגבל, או לא להריץ.
אם משהו בקובץ לא ברור לך, תגיד שלא ברור במקום לנחש.את הבדיקה הזאת עושים פעם אחת לכל סקיל, והיא לוקחת שתי דקות. ההתאוששות מסקיל שלא נבדק לוקחת הרבה יותר.
