Le trésor caché de GitHub
GitHub déborde d'« intelligence » prête à brancher sur Claude : des prompts affûtés, des slash commands, des skills, des sub-agents, des serveurs MCP, des plugins entiers. Bien choisis, ils vous font gagner des semaines : vous héritez du travail de gens qui ont déjà résolu votre problème.
Mais il y a un principe fondateur que presque personne ne dit clairement :
Un prompt ou un skill partagé, ce sont des instructions non fiables, et souvent du code non fiable. L'installer ressemble plus à exécuter le script d'un inconnu qu'à lire un article.
Tout ce parcours découle de cette phrase.
Cartographie : du texte au code qui s'exécute
Tous les « artefacts » partagés ne portent pas le même risque. Classons-les du moins au plus dangereux :
- Prompts / templates (texte brut). Vous les lisez et les collez. Risque le plus faible — mais pas nul : un prompt peut contenir des instructions cachées destinées à détourner votre agent.
- Slash commands (fichiers Markdown). Historiquement rangés dans .claude/commands/, ils ont été fusionnés avec les skills : l'emplacement recommandé est désormais .claude/skills/<nom>/SKILL.md (l'ancien dossier reste fonctionnel). Ce sont des instructions que l'agent exécute quand vous les invoquez.
- Skills (un fichier SKILL.md avec un en-tête, parfois accompagné de scripts). Ils peuvent à la fois instruire l'agent et lancer du code fourni.
- Sub-agents / agents. Des agents délégués, avec leurs propres instructions et leurs propres outils.
- Serveurs MCP (Model Context Protocol). Ce sont de vrais programmes qui tournent sur votre machine, avec vos permissions, et exposent des outils (fichiers, réseau, shell).
- Plugins. Des paquets qui regroupent plusieurs des éléments ci-dessus.
La règle mentale : plus l'artefact peut agir (exécuter, lire, appeler le réseau), plus il doit être traité comme hostile jusqu'à preuve du contraire.
Pourquoi c'est une question de sécurité, pas de confort
Un agent moderne n'est pas un chatbot passif : il lit vos fichiers, lance des commandes, appelle des outils. Le jour où vous lui donnez un skill ou un serveur MCP issu d'un inconnu, vous ne « configurez » pas un outil — vous ouvrez une frontière de sécurité.
Et plus l'agent est autonome et puissant, plus un prompt non fiable devient une arme potentielle contre vous, pas une simple commodité.
Ce que couvre ce parcours
- Chercher et évaluer : trouver les bons, repérer les douteux.
- Installer : comprendre ce qu'une installation accorde réellement.
- Le modèle de menace : prompt injection, exfiltration, supply chain.
- La checklist de vetting + le sandbox : la méthode pour adopter sans se faire avoir.
Objectif : que vous puissiez piocher dans le meilleur de l'open-source avec le réflexe sécurité d'un pro, pas avec la naïveté qui finit en fuite de secrets.
Sources & méthode · Concepts de sécurité établis : prompt injection (OWASP LLM01 ; doc Anthropic sur la sécurité de Claude Code et du Model Context Protocol) ; la « lethal trifecta » (accès données privées + contenu non fiable + canal d'exfiltration), grille popularisée par le chercheur Simon Willison ; principes classiques de moindre privilège et de sécurité de la chaîne d'approvisionnement logicielle. Contenu original rédigé pour ClaudeAI Academy, audité à la rédaction.