关于 开源合规 Skill 的 8 个常见问题
「开源合规」是法务与业务人员的高频任务。它的输入通常是组件清单，期望得到的是合规报告。这类有固定流程、又需要一点判断力的工作，很适合封装成智能体 Skill。
| 项目 | 说明 |
|---|---|
| 技能 | 开源合规（license-compliance-oss） |
| 作用 | 检查产品中开源组件的许可义务 |
| 输入 | 组件清单 |
| 输出 | 合规报告 |
| 形态 | 带脚本 |
| 风险 | 中 |
| 适用人群 | 法务与业务人员 |
1. 「开源合规」技能和直接写提示词有什么区别？
技能把步骤、格式和约束固定下来，由平台在相关时自动加载；提示词需要每次手动提供，效果依赖当次写法。
2. 需要会编程吗？
不需要。不过这个技能带脚本，脚本部分需要有人能维护。
3. 哪个平台最适合？
取决于你在哪里工作：写代码的团队适合 Claude Code、Cursor 等编码工具；业务团队适合 GPTs、扣子、百炼、飞书 aily 等平台。可以先读介绍。
4. 输出可以直接用吗？
不建议。属于中等风险：结果会影响业务判断，建议在输出前设置人工审核点。
5. 缺资料时会怎样？
如果技能里写了“信息不足先提问”，智能体会先列出缺失项；没写的话可能自行补全，这正是要避免的。
6. 能处理很长的材料吗？
取决于模型上下文长度。材料过长时，建议在技能中要求分段处理并说明处理范围。
7. 数据安全怎么保证？
测试时使用脱敏样例，按最小权限配置工具，并确认平台的数据政策。详见安全审查。
8. 效果不好怎么办？
按故障排查对照症状，一次只改一处并重跑测试。
智能体与人的分工
技能不是把工作全部交出去，而是把重复、机械的部分交给智能体，人把住判断和责任：
| 步骤 | 智能体负责 | 人负责 |
|---|---|---|
| 识别许可证 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 列出义务 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 检查履行情况 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 建议整改 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 最终交付 | 整理合规报告 | 决定是否采用、是否对外 |
属于中等风险：结果会影响业务判断，建议在输出前设置人工审核点。
准备一份好范例
在技能的参考资料里放一份你认可的合规报告范例，往往比多写十条规则更有效。好范例应当：
- 来自真实工作，但已去除个人信息和敏感数据
- 体现团队习惯的结构、措辞和详略程度
- 包含一处“需人工确认”的标注示范，让智能体学会如何表达不确定
- 篇幅适中，不要比平时的产出长太多
范例不必多，一到两份即可；太多范例反而会让智能体机械模仿某一份的细节。
每一步要产出什么
把每一步的中间产出写清楚，智能体就不容易跳步，人也方便定位问题：
- 识别许可证：产出一段简短的中间结果，并注明依据来自组件清单的哪一部分
- 列出义务：产出一段简短的中间结果，并注明依据来自组件清单的哪一部分
- 检查履行情况：产出一段简短的中间结果，并注明依据来自组件清单的哪一部分
- 建议整改：产出一段简短的中间结果，并注明依据来自组件清单的哪一部分
最后一步之后，再把这些中间结果汇总成合规报告。中间结果可以折叠或省略展示，但在技能指令中要求智能体“先完成再汇总”，能明显减少遗漏。
延伸阅读
说明：文中的配置、代码与目录结构均为示意，用于说明思路；各平台的入口、字段名与能力会更新，落地前请以对应官方文档为准。示例中的数据与场景为虚构，不代表真实案例。