Install
npx skills add google/mantisPara quem
O Mantis é para quem quer trabalho orientado a segurança com um assistente de código: um conjunto de competências desacopladas, usadas em ordem e centradas em segurança, feito para Coding Agents. A via principal é instalar as competências e depois escrever comandos slash um a um, sem entregar o fluxo inteiro à aprovação automática.
Se o primeiro passo é planear e não mudar código de imediato, o exemplo do repositório é /mantis-plan. A documentação pede para escrever estes comandos em separado e não usar --yolo nem --dangerously-skip-permissions. Serve quem para em cada passo, lê a saída e decide se continua.
Não serve como «ferramenta de correção automática» num ambiente sem isolamento nem limites. O repositório diz que o conjunto gera e executa código gerado automaticamente, que pode ser instável e fazer ações inesperadas. Também não serve tratar a saída como conclusão de segurança confirmada: cada achado tem de ser conferido em pessoa por um especialista em segurança antes de qualquer relatório externo.
Primeira tentativa em 3 minutos
O comando oficial de instalação é este: npx skills add google/mantis. O endereço do repositório é https://github.com/google/mantis Siga só esta página; não o reescreva como instalador não documentado.
Pré-condições: já tem um ambiente de assistente de código utilizável e esta máquina pode executar npx. O local de instalação é o diretório de competências desse assistente (escrito por este comando oficial). Depois de instalar, confirme primeiro que na lista aparecem comandos slash a começar por mantis, sobretudo /mantis-plan.
Primeira tarefa de baixo risco: escreva só /mantis-plan, planeie e não ligue a aprovação automática ao mesmo tempo. Não acrescente --yolo nem --dangerously-skip-permissions. Antes de disparar, confirme que o espaço de trabalho aceita uma discussão de planeamento e que ainda não autorizou executar código gerado por ler. Sinal de sucesso: o assistente começa a perguntar ou a apresentar um plano segundo os passos de planeamento do Mantis, em vez de editar ficheiros ou iniciar execução sem explicação.
O resultado do planeamento é só um plano. Se a seguir quiser gerar ou executar código, pare primeiro e veja o que mudaria. O repositório não nomeia cada comando depois de /mantis-plan; a primeira tentativa pode parar quando o plano está visível e nada correu sozinho.
Casos de uso
Caso 1: planeamento de segurança interativo. Depois de instalar, escreva /mantis-plan sozinho, avance em ordem e não use --yolo nem --dangerously-skip-permissions. Serve quando quer primeiro delimitar o âmbito da verificação e depois decidir se continua. A documentação não dá a lista completa de comandos, só o exemplo /mantis-plan; não invente outros comandos slash. Se o comando não aparecer, volte a https://github.com/google/mantis e confira se npx skills add google/mantis correu bem.
Caso 2: tratar código de verificação ou correção gerado automaticamente como rascunho ainda por conferir. O repositório diz que o conjunto gera e executa código gerado automaticamente, instável possível, com ações inesperadas possíveis. Serve equipas que já têm ambiente isolado e um especialista em segurança a ler o resultado. Cada achado tem de ser conferido em pessoa por um especialista antes de ser reportado. A documentação não descreve como montar o isolamento nem dá um modelo de relatório; até a conferência humana acabar, não envie a saída para fora nem a trate como ticket formal de vulnerabilidade.
Limites de uso
Limite de instalação: o oficial só regista npx skills add google/mantis; não use métodos não documentados. Limite de operação: escreva os comandos slash um a um; não use --yolo nem --dangerously-skip-permissions como atalho. Limite de execução: o conjunto gera e executa código que pode ser instável e fazer ações inesperadas. Limite de conclusão: os achados só se reportam após conferência presencial de um especialista em segurança. Limite do material: está escrito como competências de segurança desacopladas e sequenciais para Coding Agents; não nomeia produtos concretos nem garante cobrir todas as linguagens ou plataformas de hardware.