code-ai-installer 2.0.1 → 2.2.0

package/domains/content/.agents/skills/trend-research/agents/claude.json

@@ -1,9 +1,9 @@
 {
   "name": "trend-research",
   "display_name": "Исследование трендов",
-  "description": "Исследование актуальных трендов по теме в целевых платформах",
+  "description": "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд",
   "default_prompt": "Используй $trend-research, когда задача относится к навыку \"Исследование трендов\".",
-  "triggers": ["trend-research", "Исследование трендов", "Исследование актуальных трендов по теме в целевых платформах"],
+  "triggers": ["trend-research", "Исследование трендов", "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд"],
   "capabilities": ["trend-research"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/trend-research/agents/copilot.json

@@ -1,9 +1,9 @@
 {
   "name": "trend-research",
   "display_name": "Исследование трендов",
-  "description": "Исследование актуальных трендов по теме в целевых платформах",
+  "description": "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд",
   "default_prompt": "Используй $trend-research, когда задача относится к навыку \"Исследование трендов\".",
-  "triggers": ["trend-research", "Исследование трендов", "Исследование актуальных трендов по теме в целевых платформах"],
+  "triggers": ["trend-research", "Исследование трендов", "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд"],
   "capabilities": ["trend-research"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/trend-research/agents/gemini.json

@@ -1,9 +1,9 @@
 {
   "name": "trend-research",
   "display_name": "Исследование трендов",
-  "description": "Исследование актуальных трендов по теме в целевых платформах",
+  "description": "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд",
   "default_prompt": "Используй $trend-research, когда задача относится к навыку \"Исследование трендов\".",
-  "triggers": ["trend-research", "Исследование трендов", "Исследование актуальных трендов по теме в целевых платформах"],
+  "triggers": ["trend-research", "Исследование трендов", "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд"],
   "capabilities": ["trend-research"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/trend-research/agents/qwen.json

@@ -1,9 +1,9 @@
 {
   "name": "trend-research",
   "display_name": "Исследование трендов",
-  "description": "Исследование актуальных трендов по теме в целевых платформах",
+  "description": "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд",
   "default_prompt": "Используй $trend-research, когда задача относится к навыку \"Исследование трендов\".",
-  "triggers": ["trend-research", "Исследование трендов", "Исследование актуальных трендов по теме в целевых платформах"],
+  "triggers": ["trend-research", "Исследование трендов", "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд"],
   "capabilities": ["trend-research"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/trend-research/agents/skill.yaml

@@ -1,12 +1,12 @@
 version: 1
 name: "trend-research"
 display_name: "Исследование трендов"
-description: "Исследование актуальных трендов по теме в целевых платформах"
+description: "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд"
 default_prompt: "Используй $trend-research, когда задача относится к навыку \"Исследование трендов\"."
 triggers:
   - "trend-research"
   - "Исследование трендов"
-  - "Исследование актуальных трендов по теме в целевых платформах"
+  - "Исследование трендов — типы, инструменты мониторинга, brand fit, скорость реакции, адаптация под бренд"
 capabilities:
   - "trend-research"
 tools: []

package/domains/content/.agents/skills/visual-brief/agents/claude.json

@@ -1,9 +1,9 @@
 {
   "name": "visual-brief",
   "display_name": "Визуальный бриф",
-  "description": "Создание детального визуального брифа для дизайнера или AI-генерации",
+  "description": "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility",
   "default_prompt": "Используй $visual-brief, когда задача относится к навыку \"Визуальный бриф\".",
-  "triggers": ["visual-brief", "Визуальный бриф", "Создание детального визуального брифа для дизайнера или AI-генерации"],
+  "triggers": ["visual-brief", "Визуальный бриф", "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility"],
   "capabilities": ["visual-brief"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/visual-brief/agents/copilot.json

@@ -1,9 +1,9 @@
 {
   "name": "visual-brief",
   "display_name": "Визуальный бриф",
-  "description": "Создание детального визуального брифа для дизайнера или AI-генерации",
+  "description": "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility",
   "default_prompt": "Используй $visual-brief, когда задача относится к навыку \"Визуальный бриф\".",
-  "triggers": ["visual-brief", "Визуальный бриф", "Создание детального визуального брифа для дизайнера или AI-генерации"],
+  "triggers": ["visual-brief", "Визуальный бриф", "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility"],
   "capabilities": ["visual-brief"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/visual-brief/agents/gemini.json

@@ -1,9 +1,9 @@
 {
   "name": "visual-brief",
   "display_name": "Визуальный бриф",
-  "description": "Создание детального визуального брифа для дизайнера или AI-генерации",
+  "description": "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility",
   "default_prompt": "Используй $visual-brief, когда задача относится к навыку \"Визуальный бриф\".",
-  "triggers": ["visual-brief", "Визуальный бриф", "Создание детального визуального брифа для дизайнера или AI-генерации"],
+  "triggers": ["visual-brief", "Визуальный бриф", "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility"],
   "capabilities": ["visual-brief"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/visual-brief/agents/qwen.json

@@ -1,9 +1,9 @@
 {
   "name": "visual-brief",
   "display_name": "Визуальный бриф",
-  "description": "Создание детального визуального брифа для дизайнера или AI-генерации",
+  "description": "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility",
   "default_prompt": "Используй $visual-brief, когда задача относится к навыку \"Визуальный бриф\".",
-  "triggers": ["visual-brief", "Визуальный бриф", "Создание детального визуального брифа для дизайнера или AI-генерации"],
+  "triggers": ["visual-brief", "Визуальный бриф", "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility"],
   "capabilities": ["visual-brief"],
   "tools": [],
   "implicit_invocation": true

package/domains/content/.agents/skills/visual-brief/agents/skill.yaml

@@ -1,12 +1,12 @@
 version: 1
 name: "visual-brief"
 display_name: "Визуальный бриф"
-description: "Создание детального визуального брифа для дизайнера или AI-генерации"
+description: "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility"
 default_prompt: "Используй $visual-brief, когда задача относится к навыку \"Визуальный бриф\"."
 triggers:
   - "visual-brief"
   - "Визуальный бриф"
-  - "Создание детального визуального брифа для дизайнера или AI-генерации"
+  - "Визуальный бриф — детальное ТЗ на визуал с композицией, привязкой к moodboard/brand, AI-промпт связкой, A/B вариантами, accessibility"
 capabilities:
   - "visual-brief"
 tools: []

package/domains/development/.agents/skills/dependency-supply-chain-review/SKILL.md

@@ -1,13 +1,18 @@
 ---
 name: dependency-supply-chain-review
-description: Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов.
+description: Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку.
+last_verified: 2026-04-08
+version: 2.0
+mcp_server: socket-mcp
 ---
 
 # Skill: Dependency & Supply Chain Review
 
-Аудит npm-зависимостей: уязвимости, лицензии, подозрительные пакеты.
+Аудит npm-зависимостей: supply chain, уязвимости, лицензии, подозрительные пакеты.
+**С версии 2.0** — обязательная интеграция с **socket.dev MCP** (`depscore`) для каждого нового или обновляемого пакета. P0-алерты блокируют установку до явного подтверждения пользователя.
 
 **Разделы:**
+0. [Prerequisites — Socket.dev MCP](#0-prerequisites)
 1. [Когда активировать](#1-когда)
 2. [Audit Commands](#2-audit)
 3. [Checklist](#3-checklist)
@@ -16,6 +21,70 @@ description: Ревью зависимостей — минимизация, о
 6. [Decision Framework](#6-decision)
 7. [CI Integration](#7-ci)
 8. [Output Template](#8-output)
+9. [Socket.dev Integration](#9-socket-dev)
+
+---
+
+## 0. Prerequisites — Socket.dev MCP <a id="0-prerequisites"></a>
+
+> [!IMPORTANT]
+> **Socket.dev MCP — обязательное требование с v2.0.** Без него этот skill работает в **degraded mode** с пометкой в отчёте.
+
+### Зачем
+
+[socket.dev](https://socket.dev) даёт автоматизированную supply-chain аналитику пакетов: обнаружение malware, typosquatting, подозрительных maintainer-смен, native binding рисков. Без него ревью полагается только на `npm audit`, который ловит лишь известные CVE.
+
+### Установка (рекомендуемый способ — HTTP, без API-ключа)
+
+Добавь в `mcpServers` конфиг своего AI-клиента (Claude Code / Codex / Qwen / Copilot / Antigravity):
+
+```json
+{
+  "mcpServers": {
+    "socket-mcp": {
+      "type": "http",
+      "url": "https://mcp.socket.dev/"
+    }
+  }
+}
+```
+
+### Альтернатива — stdio с API-ключом (для команд с paid socket.dev аккаунтом)
+
+```json
+{
+  "mcpServers": {
+    "socket-mcp": {
+      "command": "npx",
+      "args": ["-y", "@socketsecurity/mcp@latest"],
+      "env": {
+        "SOCKET_API_KEY": "your-api-key-here"
+      }
+    }
+  }
+}
+```
+
+API-ключ можно получить на https://socket.dev/.
+
+### Detection protocol (агент выполняет перед началом ревью)
+
+1. Попробовать вызвать `depscore` для тестового пакета (например, `lodash@4.17.21`).
+2. Если tool доступен и вернул валидный ответ → **Active mode**, продолжаем.
+3. Если tool недоступен → **degraded mode**, выполнить шаги ниже.
+
+### Degraded mode protocol
+
+Если `socket-mcp` не подключён:
+
+1. **Залогировать предупреждение**: `[degraded] socket-mcp not detected — falling back to npm audit only`.
+2. **Предложить установку**: показать пользователю оба JSON-снипета (HTTP + stdio) и спросить:
+   > "Socket.dev MCP не подключён. Хочешь установить сейчас? (HTTP-mode не требует API-ключа). [y/n]"
+3. Если **y** → дать инструкцию: «Добавь сниппет в `mcpServers` конфиг своего AI-клиента и перезапусти сессию», после рестарта повторить detection.
+4. Если **n** или после установки tool всё ещё недоступен → продолжать review с пометкой `Mode: Degraded` в Output Template, fallback на `npm audit` + manual checks из раздела 4 (Red Flags).
+
+> [!WARNING]
+> В degraded mode review **не блокирует** мерж по DEP-05a/05b/05c (socket-checks), но Reviewer обязан явно зафиксировать degraded-статус в Handoff Envelope.
 
 ---
 
@@ -95,11 +164,18 @@ grep_search: Query="prebuild" SearchPath="package-lock.json"
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
 | DEP-05 | `npm audit` — no high/critical vulnerabilities | 🔴 P0 | ☐ |
+| DEP-05a | socket.dev `depscore.supply_chain ≥ 0.75` для всех новых/обновлённых deps | 🔴 P0 | ☐ |
+| DEP-05b | socket.dev `depscore.vulnerability ≥ 0.80` | 🔴 P0 | ☐ |
+| DEP-05c | socket.dev `depscore.license ≥ 0.50` (нет копилефт-контаминации) | 🔴 P0 | ☐ |
+| DEP-05d | socket-mcp tool detected (не degraded mode) | 🟠 P1 | ☐ |
 | DEP-06 | `package-lock.json` committed and up to date | 🔴 P0 | ☐ |
 | DEP-07 | No `npm install` with `--force` or `--legacy-peer-deps` (unless justified) | 🟠 P1 | ☐ |
 | DEP-08 | No postinstall scripts from untrusted packages | 🔴 P0 | ☐ |
 | DEP-09 | Packages use well-known publishers (npm org verified) | 🟠 P1 | ☐ |
 
+> [!NOTE]
+> DEP-05a/05b/05c проверяются автоматически через socket.dev `depscore` (см. раздел [9. Socket.dev Integration](#9-socket-dev)). В **degraded mode** эти чеки помечаются `N/A — degraded` и не блокируют merge, но Reviewer обязан зафиксировать это в Output Template.
+
 ### 3.3 Maintenance
 
 | # | Check | Severity | Status |
@@ -262,10 +338,22 @@ dependency-review:
 **Reviewer:** Reviewer Agent
 **Total deps:** production: XX, dev: YY
 
+## Socket.dev Audit
+- **Mode:** ✅ Active / ⚠️ **Degraded** (socket-mcp not available)
+- Packages scanned: XX
+- P0 blockers: Y
+- P1 warnings: Z
+
+| Package | supply_chain | vuln | license | quality | maint | Verdict |
+|---------|--------------|------|---------|---------|-------|---------|
+| `zod@3.22.0` | 0.95 | 0.92 | 1.00 | 0.88 | 0.91 | ✅ OK |
+| `event-stream@3.3.6` | 0.10 | 0.05 | 0.85 | 0.40 | 0.20 | 🔴 P0 BLOCK |
+
 ## Audit Results
 | Check | Result |
 |-------|--------|
 | npm audit | ✅ No high/critical |
+| socket.dev depscore | ✅ All deps pass / 🔴 1 P0 blocker / ⚠️ Degraded |
 | License check | ⚠️ 1 GPL package found |
 | Unused deps | ✅ All used |
 | Outdated (major) | ⚠️ 3 packages behind |
@@ -274,7 +362,7 @@ dependency-review:
 
 | # | Severity | Package | Finding | Action |
 |---|----------|---------|---------|--------|
-| 1 | 🔴 P0 | `event-stream@3.3.6` | Known supply chain attack | Remove immediately |
+| 1 | 🔴 P0 | `event-stream@3.3.6` | socket.dev: supply_chain=0.10 (known attack) | Remove immediately |
 | 2 | 🟠 P1 | `moment@2.29.1` | 290KB, abandoned | Replace with dayjs |
 | 3 | 🟠 P1 | `some-lib@0.1.0` | GPL-3.0 license | Replace or get legal approval |
 | 4 | 🟡 P2 | `lodash@4.17.21` | Only using `debounce` | Replace with `lodash.debounce` or native |
@@ -293,8 +381,97 @@ dependency-review:
 
 ---
 
+## 9. Socket.dev Integration <a id="9-socket-dev"></a>
+
+### Tool: `depscore`
+
+`@socketsecurity/mcp` экспонирует **один** tool — `depscore`, который возвращает пять метрик по каждому пакету:
+
+| Метрика | Что значит |
+|---------|------------|
+| `supply_chain` | Риск supply-chain атак (typosquatting, malware, маинтейнер-смены, скрипты) |
+| `vulnerability` | Известные CVE и уязвимости |
+| `quality` | Качество кода, тесты, documentation |
+| `maintenance` | Активность мейнтенера, частота релизов |
+| `license` | Соответствие лицензии (низкий = копилефт / unlicensed) |
+
+Все метрики в диапазоне `0.0–1.0`, где `1.0` = идеально.
+
+### Tool call
+
+```javascript
+depscore({
+  packages: [
+    { ecosystem: "npm", depname: "lodash", version: "4.17.21" },
+    { ecosystem: "npm", depname: "zod", version: "3.22.0" }
+  ]
+})
+```
+
+Возвращает строки в формате:
+```
+pkg:npm/lodash@4.17.21: supply_chain: 0.95, quality: 0.88, maintenance: 0.91, vulnerability: 0.92, license: 1.0
+pkg:npm/zod@3.22.0: supply_chain: 0.97, quality: 0.95, maintenance: 0.93, vulnerability: 0.95, license: 1.0
+```
+
+### Threshold matrix (action policy)
+
+| Метрика | Range | Severity | Action |
+|---------|-------|----------|--------|
+| `supply_chain` | < 0.50 | 🔴 **P0** | **BLOCK** — эскалировать пользователю с metrics |
+| `supply_chain` | 0.50 – 0.74 | 🟠 P1 | WARN — требовать обоснование |
+| `supply_chain` | ≥ 0.75 | ✅ | OK |
+| `vulnerability` | < 0.50 | 🔴 **P0** | **BLOCK** |
+| `vulnerability` | 0.50 – 0.79 | 🟠 P1 | WARN |
+| `vulnerability` | ≥ 0.80 | ✅ | OK |
+| `license` | < 0.50 | 🔴 **P0** | **BLOCK** — вероятно копилефт/unlicensed |
+| `license` | ≥ 0.50 | ✅ | OK |
+| `quality` | < 0.50 | 🟡 P2 | INFO |
+| `maintenance` | < 0.50 | 🟡 P2 | INFO (заброшен) |
+
+### Workflow для агента (псевдокод)
+
+```
+для каждого нового или обновлённого пакета (из package.json diff):
+  result = depscore({ packages: [{ ecosystem: "npm", depname, version }] })
+  metrics = parse(result)
+
+  if metrics.supply_chain < 0.50
+     OR metrics.vulnerability < 0.50
+     OR metrics.license < 0.50:
+    → 🔴 P0 BLOCK
+    → эскалировать пользователю: "Пакет X имеет критический алерт socket.dev: <metric>=<value>. Установка заблокирована. Подтверди явно если хочешь продолжить."
+    → ждать подтверждения
+
+  elif any метрика в P1 диапазоне:
+    → 🟠 P1 WARN
+    → добавить в Findings с пометкой "требует обоснования"
+
+  else:
+    → ✅ OK
+    → продолжать
+
+записать все результаты в Output Template → Socket.dev Audit table
+```
+
+### Когда вызывать `depscore`
+
+| Триггер | Кто вызывает |
+|---------|--------------|
+| DEV: перед `npm install <pkg>` | Senior Full Stack |
+| DEV: перед `npm update` или bump major-версии | Senior Full Stack |
+| REV: при ревью PR с изменениями `package.json` / `package-lock.json` | Reviewer |
+| RG: pre-release полный аудит всех production deps | Reviewer (по запросу Conductor) |
+
+### Batch optimization
+
+Для больших diff (>10 пакетов) — батчить вызовы по 10–20 пакетов в одном `depscore({ packages: [...] })`. Socket.dev принимает массив, не нужно дёргать по одному.
+
+---
+
 ## См. также
 - `$security-review` — application security review
 - `$security-baseline-dev` — secure coding patterns
 - `$cloud-infrastructure-security` — CI/CD pipeline security
-- `$tooling-bun-biome` — package manager setup
+- `$tooling-bun-biome` — package manager setup
+- [socket.dev MCP server](https://github.com/SocketDev/socket-mcp) — официальный репо

package/domains/development/.agents/skills/dependency-supply-chain-review/agents/claude.json

@@ -1,13 +1,13 @@
 {
   "name": "dependency-supply-chain-review",
   "display_name": "Проверка зависимостей и цепочки поставок",
-  "description": "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов.",
+  "description": "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку.",
   "default_prompt": "Используй $dependency-supply-chain-review, когда задача относится к навыку \"Проверка зависимостей и цепочки поставок\".",
   "triggers": [
     "dependency-supply-chain-review",
     "dependency supply chain review",
     "Проверка зависимостей и цепочки поставок",
-    "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов"
+    "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку"
   ],
   "capabilities": [
     "dependency",

package/domains/development/.agents/skills/dependency-supply-chain-review/agents/copilot.json

@@ -1,13 +1,13 @@
 {
   "name": "dependency-supply-chain-review",
   "display_name": "Проверка зависимостей и цепочки поставок",
-  "description": "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов.",
+  "description": "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку.",
   "default_prompt": "Используй $dependency-supply-chain-review, когда задача относится к навыку \"Проверка зависимостей и цепочки поставок\".",
   "triggers": [
     "dependency-supply-chain-review",
     "dependency supply chain review",
     "Проверка зависимостей и цепочки поставок",
-    "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов"
+    "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку"
   ],
   "capabilities": [
     "dependency",

package/domains/development/.agents/skills/dependency-supply-chain-review/agents/gemini.json

@@ -1,13 +1,13 @@
 {
   "name": "dependency-supply-chain-review",
   "display_name": "Проверка зависимостей и цепочки поставок",
-  "description": "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов.",
+  "description": "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку.",
   "default_prompt": "Используй $dependency-supply-chain-review, когда задача относится к навыку \"Проверка зависимостей и цепочки поставок\".",
   "triggers": [
     "dependency-supply-chain-review",
     "dependency supply chain review",
     "Проверка зависимостей и цепочки поставок",
-    "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов"
+    "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку"
   ],
   "capabilities": [
     "dependency",

package/domains/development/.agents/skills/dependency-supply-chain-review/agents/openai.yaml

@@ -1,6 +1,6 @@
 interface:
   display_name: "Проверка зависимостей и цепочки поставок"
-  short_description: "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных…"
+  short_description: "Ревью зависимостей с socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 блок."
   default_prompt: "Используй $dependency-supply-chain-review, когда задача относится к навыку \"Проверка зависимостей и цепочки поставок\"."
 dependencies:
   tools: []

package/domains/development/.agents/skills/dependency-supply-chain-review/agents/qwen.json

@@ -1,13 +1,13 @@
 {
   "name": "dependency-supply-chain-review",
   "display_name": "Проверка зависимостей и цепочки поставок",
-  "description": "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов.",
+  "description": "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку.",
   "default_prompt": "Используй $dependency-supply-chain-review, когда задача относится к навыку \"Проверка зависимостей и цепочки поставок\".",
   "triggers": [
     "dependency-supply-chain-review",
     "dependency supply chain review",
     "Проверка зависимостей и цепочки поставок",
-    "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов"
+    "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку"
   ],
   "capabilities": [
     "dependency",

package/domains/development/.agents/skills/dependency-supply-chain-review/agents/skill.yaml

@@ -1,13 +1,13 @@
 version: 1
 name: "dependency-supply-chain-review"
 display_name: "Проверка зависимостей и цепочки поставок"
-description: "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов."
+description: "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку."
 default_prompt: "Используй $dependency-supply-chain-review, когда задача относится к навыку \"Проверка зависимостей и цепочки поставок\"."
 triggers:
   - "dependency-supply-chain-review"
   - "dependency supply chain review"
   - "Проверка зависимостей и цепочки поставок"
-  - "Ревью зависимостей — минимизация, обновления, аудит уязвимостей, лицензии, запрет небезопасных пакетов"
+  - "Ревью зависимостей с обязательной проверкой через socket.dev MCP (depscore) — supply chain, vulnerability, лицензии. P0 алерты блокируют установку"
 capabilities:
   - "dependency"
   - "supply"

package/domains/development/agents/reviewer.md

@@ -21,6 +21,7 @@ Reviewer — это "quality gate" перед Tester и Release Gate.
 - API Contracts + Data Model + Threat Model baseline (если есть)
 - Deployment/CI Plan + Observability Plan (если релевантно)
 - PR diff / список файлов / ссылка на ветку / результаты CI
+- **socket-mcp tool availability** — обязательная проверка перед ревью изменений `package.json` / `package-lock.json`. Если недоступен → degraded mode (см. [`$dependency-supply-chain-review`](.agents/skills/dependency-supply-chain-review/) → раздел 0 Prerequisites).
 
 ---
 
@@ -30,6 +31,7 @@ Reviewer — это "quality gate" перед Tester и Release Gate.
 - Если нарушение влияет на безопасность/данные/архитектуру — это 🔴 P0.
 - Перед началом ревью **обязательно** прочитать секцию "Important vs Not Important" из Architecture Doc — не блокировать то, что архитектор намеренно вынес за скоуп.
 - Проверки git-гигиены (структура коммитов, нейминг веток/коммитов, косметика diff) классифицировать как 🟡 P2, если нет прямого влияния на безопасность/данные/архитектуру.
+- **Supply chain через socket.dev обязательны** для любого изменения `package.json` / `package-lock.json`. Запустить `$dependency-supply-chain-review` → `depscore` для всех новых/обновлённых пакетов. P0-алерты (`supply_chain<0.5` / `vulnerability<0.5` / `license<0.5`) = 🔴 NO-GO до явного подтверждения пользователя или удаления пакета. В **degraded mode** (socket-mcp недоступен) — review разрешён, но статус `Degraded` обязательно фиксируется в Handoff Envelope.
 
 ---
 
@@ -244,10 +246,11 @@ OPEN ITEMS: [список P1/P2 для трекинга]
 BLOCKERS FOR NEXT PHASE: [список P0, если есть]
 MERGE STATUS: GO ✅ / NO-GO ❌
 CONTAINER RELOAD VERIFIED: ✅ / ❌
+SOCKET.DEV MODE: Active ✅ / Degraded ⚠️ / N/A (no package.json changes)
 ```
 
 ## HANDOFF (Mandatory)
 - Every REV output must end with a completed `Handoff Envelope`.
-- Required fields: `HANDOFF TO`, `ARTIFACTS PRODUCED`, `REQUIRED INPUTS FULFILLED`, `OPEN ITEMS`, `BLOCKERS FOR NEXT PHASE`, `MERGE STATUS`, `CONTAINER RELOAD VERIFIED`.
+- Required fields: `HANDOFF TO`, `ARTIFACTS PRODUCED`, `REQUIRED INPUTS FULFILLED`, `OPEN ITEMS`, `BLOCKERS FOR NEXT PHASE`, `MERGE STATUS`, `CONTAINER RELOAD VERIFIED`, `SOCKET.DEV MODE`.
 - If `OPEN ITEMS` is not empty, include owner and due date per item.
 - Missing HANDOFF block means REV phase is `BLOCKED` and cannot move to QA/RG.

package/domains/development/agents/senior_full_stack.md

@@ -50,6 +50,7 @@
 8. **Feedback loop** — после каждого среза обязательна DEMO-инструкция
 9. **Batch tasks** — задачи выполняются пакетами (10–15), образующими тестируемый вертикальный срез
 10. **Docker impact handoff** — после изменений кода DEV обязан передать DevOps список затронутых сервисов для обязательного перезапуска контейнеров
+11. **Socket.dev pre-install gate** — перед каждым `npm install <pkg>` / `npm update` / bump major-версии обязательно вызвать `depscore` через socket-mcp. P0-алерты (`supply_chain<0.5` / `vulnerability<0.5` / `license<0.5`) → **жёсткий блок**: остановиться, эскалировать пользователю, ждать явного подтверждения. В **degraded mode** (socket-mcp недоступен) — следовать degraded protocol из [`$dependency-supply-chain-review`](.agents/skills/dependency-supply-chain-review/) → раздел 0.
 
 ---
 
@@ -130,6 +131,12 @@
 - Единый безопасный формат ошибок (без stack trace)
 - Отсутствие секретов/PII в коде и логах
 - Гигиена зависимостей
+- **Socket.dev pre-install check** — перед каждым `npm install <pkg>`:
+  1. Вызвать `depscore({ packages: [{ ecosystem: "npm", depname, version }] })` через socket-mcp
+  2. Если `supply_chain < 0.5` ИЛИ `vulnerability < 0.5` ИЛИ `license < 0.5` → **STOP**, эскалировать пользователю с metrics, ждать явного подтверждения
+  3. Если все метрики OK → продолжить установку
+  4. Если socket-mcp недоступен → degraded protocol (см. `$dependency-supply-chain-review` раздел 0)
+  5. Зафиксировать metrics в DEV report для следующего гейта
 
 ### 6) Demo Gate
 После каждого `DEV-xx` предоставить `DEMO-xx`:
@@ -156,6 +163,7 @@
 - Секреты не в коде/логах
 - Есть DEMO-инструкция
 - Базовая безопасность: валидация входа, авторизация, гигиена зависимостей
+- **Socket.dev depscore выполнен для всех новых/обновлённых deps; нет P0-алертов (или явное подтверждение пользователя зафиксировано)**
 - Production-ready: нет mock-функций в рабочих сценариях
 - Anti-pattern self-check: PASS
 
@@ -276,10 +284,11 @@ ANTI-PATTERN CHECK: PASS ✅ / FAIL ❌
 JSDOC COVERAGE: X/Y
 CI STATUS: GREEN ✅ / RED ❌
 DEVOPS RELOAD REQUEST: affected services + suggested command (`restart` / `up -d --build`)
+SOCKET.DEV PRE-INSTALL: Active ✅ (N packages scanned, 0 P0) / Degraded ⚠️ / N/A (no new deps)
 ```
 
 ## HANDOFF (Mandatory)
 - Every DEV output must end with a completed `Handoff Envelope`.
-- Required fields: `HANDOFF TO`, `ARTIFACTS PRODUCED`, `REQUIRED INPUTS FULFILLED`, `OPEN ITEMS`, `BLOCKERS FOR REVIEW`, `ANTI-PATTERN CHECK`, `JSDOC COVERAGE`, `CI STATUS`.
+- Required fields: `HANDOFF TO`, `ARTIFACTS PRODUCED`, `REQUIRED INPUTS FULFILLED`, `OPEN ITEMS`, `BLOCKERS FOR REVIEW`, `ANTI-PATTERN CHECK`, `JSDOC COVERAGE`, `CI STATUS`, `SOCKET.DEV PRE-INSTALL`.
 - If `OPEN ITEMS` is not empty, include owner and due date per item.
 - Missing HANDOFF block means DEV phase is `BLOCKED` and cannot move to REV.