一、基本信息
| 项目 | 内容 | 数据来源 |
|---|---|---|
| 正式名称 | agent-governance-github-awesome-copilot | 合集仓库子目录名（见下方说明） |
| 所属合集仓库 | github/awesome-copilot（GitHub 官方社区共享技能集合） | GitHub API |
| 作者/维护者 | 社区贡献者 imran-siddique（Opaque Systems）投稿，经 github/awesome-copilot 仓库审核合并 | GitHub API（PR 记录） |
| 来源链接 | https://github.com/github/awesome-copilot/tree/main/skills/agent-governance | — |
| 许可证 | MIT | GitHub API |
| 合集仓库整体 Stars/Forks | 37,285 / 4,677（注：该数字属整个合集，不代表本技能自身热度） | GitHub API |
| 最新版本 | 无独立版本号（滚动更新的合集仓库），本子技能文件最近一次实质修改为 2026-03-16 | GitHub API（commits 接口） |
| 安装方式 | gh skills install github/awesome-copilot agent-governance（需 GitHub CLI v2.90.0+），或手动复制 SKILL.md 到本地 skills 目录 |
官方文档 docs/README.skills.md |
二、功能介绍与亮点
agent-governance 把“给会调用外部工具的 AI Agent 加上安全边界”这件事，整理成一套可直接落地的模式库，而不是空谈原则。核心内容：
- 策略对象化：把“哪些工具能调、哪些内容要拦、调用频率上限”定义成可序列化的
GovernancePolicy对象，支持多策略组合，且遵循“最严格优先”的合并规则 - 意图分类前置检查：在工具真正执行前先做一次语义识别，拦截明显危险的请求
- 多 Agent 信任评分：为委托型多 Agent 系统提供信任分数机制，且信任分会随时间衰减，要求持续的良好行为
- 只增量审计日志：审计记录只增不改不删，满足合规留痕要求
- 跨框架现成代码：分别给出 LangChain、CrewAI、OpenAI Agents SDK 等主流框架的装饰器式接入示例，照抄即可用
- 分级与清单化：提供 Open/Standard/Strict/Locked 四档治理强度对照表，以及落地前的自检清单
亮点在于它明确链接到同一开发者主导、现已并入微软官方组织的开源项目 microsoft/agent-governance-toolkit——该项目已被微软 .NET 官方博客于 2026 年 5 月正式宣布，并以公开 NuGet 包形式发布，这为本技能所讲的模式提供了独立的真实产品验证，而非纸面方法论。
三、适用场景
固定分类：安全与合规
适用于正在给 Claude Code、Codex 等 Agent 编写自定义工具/插件的初中级开发者：当 Agent 需要访问文件系统、数据库或外部 API，而团队还没有一套现成的权限控制、审计留痕、多 Agent 信任边界方案时，可以直接照抄本技能里的策略对象、装饰器与检查清单，把“能不能调用”“调了要不要留痕”这些问题提前想清楚，而不是等出了问题再补救。
四、跨 Agent 兼容性
| Agent | 结论 | 依据 |
|---|---|---|
| Claude Code | 原生支持 | 标准 SKILL.md 格式（YAML front matter + 指令正文），无绑定资源、无 Copilot 专有语法，可直接复制进本地 skills 目录使用 |
| Codex | 需适配 | 同样遵循 Agent Skills 规范、无绑定资源，理论上可手动复制使用，但已抓取材料中未见针对 Codex 的官方安装说明 |
| OpenClaw | 未验证 | 已抓取材料未提及 OpenClaw 支持情况，未为此单独搜索 |
| Hermes Agent | 未验证 | 已抓取材料未提及 Hermes 支持情况，未为此单独搜索 |
五、推荐理由
给 Agent 加安全护栏是一件“人人都知道该做，但很少有现成模板”的事。这个技能的价值在于把策略执行、意图拦截、信任评分、审计留痕这几件事，直接写成了可以照抄进 LangChain/CrewAI/OpenAI Agents SDK 等主流框架的代码片段，而不是一份泛泛而谈的安全清单。更难得的是，它链接的配套开源工具包已经获得微软官方 .NET 博客正式宣布并发布公开 NuGet 包，说明这套模式经过了真实产品与真实用户的检验，不是自说自话。技能本身纯文本、零依赖、无需联网,安装成本几乎为零。
六、评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 8 | 配套开源工具包 microsoft/agent-governance-toolkit 已获微软官方 .NET 博客正式宣布（2026-05-21，公开 NuGet 包），自身 5,523 Star / 875 Fork / 162 个活跃 Issue，GitHub 全站可查到多个独立项目在 Issue 中讨论集成该工具包 |
| 可用性 | 8 | SKILL.md 正文 569 行，覆盖 5 个主流 Agent 框架的可直接复制代码示例、治理分级对照表、最佳实践与落地检查清单；纯文本无付费依赖；本子技能文件最近一次实质更新为 2026-03-16 |
| 安全性 | 9 | 见下方安全检查清单 |
| 综合评分 | 8.3 | 三项均值 |
安全检查清单：
| 检查项 | 结果 |
|---|---|
| ① Shell 命令与权限范围 | 不涉及，正文仅为策略模式说明与代码示例，不主动执行任何命令 |
| ② 运行时联网外发 | 无，纯参考型内容 |
| ③ API Key/凭据 | 不需要 |
| ④ 可疑指令排查 | 已完整阅读 SKILL.md 全文，未发现 prompt injection 或隐藏指令 |
| ⑤ 作者/组织信誉 | 社区贡献者，其主导的配套开源项目已被微软官方采纳并公开发布，具备可查证的真实履历 |
| ⑥ License | MIT，清晰明确 |
| ⑦ 最近维护 | 所属合集仓库持续活跃（近日仍有提交），本子技能文件最近一次实质更新为 2026-03-16 |
七、跟同类 Skills 相比的优势
| 对比对象 | 定位 | 与本 skill 的差异 |
|---|---|---|
| agent-owasp-compliance（同合集仓库子技能） | 对照 OWASP Agentic Security Initiative Top 10 生成合规检查报告 | 产出是一份合规评分/差距报告，不提供可直接嵌入代码的策略执行、信任评分或审计日志实现 |
| mcp-security-audit（同合集仓库子技能） | 审计 .mcp.json 配置文件里的硬编码密钥、命令注入模式、版本锁定问题 |
范围局限于 MCP 服务器配置文件本身，不涉及 Agent 运行时的工具调用治理 |
| agent-supply-chain（同合集仓库子技能） | 为 Agent 插件与依赖生成 SHA-256 完整性清单，检测篡改 | 解决的是“这个插件是不是被人改过”，不涉及“这个 Agent 运行时能不能调这个工具” |
| OWASP Secure Agent Playbook 系列 | 针对代码审查、IaC、供应链等场景输出安全审计清单式报告 | 定位是审计与发现问题，本 skill 定位是治理模式的落地实现，两者互补而非替代 |
核心差异化：上述同类工具大多解决“发现问题”（合规检查、配置审计、完整性校验），而 agent-governance 解决的是“问题发生前如何用代码把边界立起来”，是目前少见的、覆盖多个主流框架的治理实现模板。
八、用户评价
该技能本身在 github/awesome-copilot 仓库内尚无独立于官方合并记录之外的具名用户评论。但其 SKILL.md 内链接的配套开源项目 microsoft/agent-governance-toolkit 已有其他项目开发者在 GitHub Issue 中主动讨论集成：
- 开发者 nicksolarsoul 在项目 sure-scale/hey-jude 的 Issue #13《Explore optional Microsoft Agent Governance Toolkit integration》中评估将该工具包作为可选治理层接入自家的 LLM 请求脱敏系统。
- 开发者 phongnguyend 在项目 Practical.AI 的 Issue #22 中记录了微软官方 .NET 博客关于该工具包 MCP 扩展的两篇正式公告文章。
九、其他补充
microsoft/agent-governance-toolkit 项目下设有独立的 .NET、Python 等多语言实现目录，并持续接受外部贡献者（如 yashwanthjack、chopmob-cloud、CTWalk 等）提交的修复与改进，可作为深入实践本技能所述模式时的参考实现。
十、安装使用方式
通过 GitHub CLI（推荐，需 v2.90.0+）：
gh skills install github/awesome-copilot agent-governance手动安装：
mkdir -p ~/.claude/skills/agent-governance
curl -sSL https://raw.githubusercontent.com/github/awesome-copilot/main/skills/agent-governance/SKILL.md \
-o ~/.claude/skills/agent-governance/SKILL.md安装后注意事项：无绑定脚本或资源文件，纯 Markdown 说明，安装后无需重启，直接在对话中描述“给 Agent 加权限控制/审计追踪/信任评分”等需求即可触发，或显式引用技能名调用。
十一、注意事项
- 本技能提供的是代码模式与参考实现，不是开箱即用的库；需要用户自行把示例代码接入自己的 Agent 系统
- 技能本身不包含对治理策略是否生效的自动化验证，落地效果取决于用户自身的实现质量
- 跨 Agent 兼容性中 Codex/OpenClaw/Hermes Agent 三项尚无可验证的官方材料，建议使用前自行测试
- 配套的 microsoft/agent-governance-toolkit 是一个仍有 162 个开放 Issue 的活跃项目，深入使用前建议先查看其最新文档
- 所属合集仓库暂无正式版本号/Release，处于滚动更新状态