AI Extensions,31 octobre: dater la bibliothèque, restaurer l’outil

OWASP Advisor Skill et TokenEconomizer changent le contexte disponible. Une réponse utile ou moins chère ne décide pas des droits d’action.

Un conseiller et son corpus

L’annonce S.A.G.E d’OWASP du 29 octobre promet des ressources actuelles par chat et MCP. Le dépôt distinct GenAI Security Advisor se présente comme Agent Skill, en Preview, version publique v1.1.0. Les noms ne prouvent pas une même implémentation. Cet article examine le Skill documenté et TokenEconomizer. Le serveur MCP annoncé reste une piste d’installation non vérifiée, pas un paquet recommandé.

Actuel ne signifie pas synchronisé

Le README décrit un corpus volontairement figé et versionné. Les modifications amont ne sont pas automatiquement intégrées. Le manifeste indique statut, source, commit copié, date et licence, avec des ressources remplacées ou simplement liées. Une réponse devrait donc nommer la révision réellement consultée. Je n’ai testé ni qualité des réponses ni interface de chat; une promesse de fraîcheur ne remplace pas cette provenance.

La licence du document

Le LICENSE du code et des instructions propres au dépôt est Apache 2.0. Les ressources gardent leurs licences, souvent CC BY-SA 4.0. Certaines entrées restent de simples liens avec licence non confirmée. Je ne redistribuerais pas tout sous Apache. Les correspondances entre cadres aident à trouver des contrôles; elles ne valent ni certification, ni conformité juridique, ni acceptation du risque.

Installer modifie le contexte

Le README documente Claude Code, Codex CLI, Copilot et Gemini CLI, sans prouver chaque version actuelle. Un essai isolé fixerait le commit, examinerait scripts et ressources, puis utiliserait une architecture synthétique plutôt que des plans privés. Il demanderait titres, versions et incertitudes. Un conseiller de recherche ne remplace pas politique interne, revue d’architecture, test d’intrusion ou conseil juridique.

Les outils retirés

TokenEconomizer prend en charge Claude Code, Codex, Copilot CLI et Pi; opencode reste expérimental. Apache 2.0 est confirmé par LICENSE. Selon l’hôte, la réduction touche un outil, un ensemble de capacités ou un serveur MCP entier. Pi et opencode n’en ont pas. Un mode proposition et une commande de restauration sont documentés. Je commencerais par les propositions dans un dépôt temporaire autorisé et une tâche tardive exigeant un outil rare.

Coût et arrêt

Les rapports incluent les appels du plugin; son état reste local selon le README. Les traitements par modèle passent toutefois par l’agent configuré: local ne signifie pas hors ligne. Les micro-compétences sont désactivées par défaut; réduction et garde-boucle sont activés. La page de recherche décrit un arrêt, tandis que le README du plugin dit qu’il n’arrête jamais un tour lui-même. Un avertissement ne plafonne pas une facture. Aucun paquet n’a été installé, connecté ou exécuté.

Le dossier d’acceptation

Pour Advisor: commit, ressource, statut, licence et citations. Pour TokenEconomizer: version de l’hôte, différence de réglages, omissions proposées, restauration réussie, facture et intervention humaine pour arrêter. Lecture, installation et droit de production restent des décisions séparées. Ce sont des tests proposés, sans résultats revendiqués. Les chiffres de popularité ne prouvent pas l’adéquation à une équipe.

Sources

• https://github.com/GenAI-Security-Project/GenAI-Security-Advisor
• https://raw.githubusercontent.com/GenAI-Security-Project/GenAI-Security-Advisor/main/LICENSE
• https://raw.githubusercontent.com/GenAI-Security-Project/GenAI-Security-Advisor/main/corpus/MANIFEST.yaml
• https://www.linkedin.com/posts/owasp-top-10-for-large-language-model-applications_owasp-genaisecurity-aisecurity-activity-7521616629588279296-S-qh
• https://github.com/microsoft/TokenEconomizer
• https://raw.githubusercontent.com/microsoft/TokenEconomizer/main/LICENSE