# Skill Card: el SBOM de capacidades para agentes

> Una skill card puede convertir una capacidad agentiva opaca en un contrato revisable de dueño, licencia, riesgos, límites y uso previsto.

- Author: Viktor Berthelius (BRTHLS)
- Published: 2026-08-17
- Category: systems thinking
- Tags: skill-card, agent-skills, capability-governance, sbom
- Language: es
- Canonical: https://www.brthls.com/magazine/skill-card-sbom-capacidades-agente-es
- Source: BRTHLS Magazine — https://www.brthls.com

---

## Problema

Una skill puede parecer un pequeño archivo de instrucciones y, sin embargo, cambiar herramientas, datos, outputs y obligaciones legales. Revisar solo el código no explica para qué existe ni dónde deja de ser segura.

Dos skills pueden llamarse "generar informe". Una resume archivos locales; otra consulta CRM, navega por internet y publica un documento. El nombre describe intención. La ficha debe revelar capacidad efectiva.

## Tesis

La skill card debe funcionar como un SBOM de capacidad: una ficha legible que acompañe al artefacto y haga explícitos dueño, licencia, caso de uso, geografía, inputs, outputs, riesgos y controles.

**Regla de compra:** no compres confianza en forma de badge. Compra información suficiente para decidir si la capacidad encaja en tu perímetro.

## Framework

NVIDIA describe una cadena de confianza para skills verificadas que combina análisis con SkillSpector, firma y una skill card. La aportación importante no es otro sello: es hacer comparable la capacidad antes de instalarla.

Una ficha útil tiene tres planos. Procedencia explica quién construyó y firmó. Operación enumera herramientas, datos, outputs y límites. Adecuación declara usos previstos, exclusiones y riesgos conocidos.

La firma demuestra integridad entre ficha y artefacto. No demuestra que tu configuración local sea correcta. Una skill legítima para datos públicos puede volverse peligrosa al conectarla a un workspace confidencial.

**Señal medible:** porcentaje de skills activas con ficha, firma, versión y owner verificables.

## Por que importa ahora

Las skills se distribuyen entre equipos y repositorios como dependencias. Una ficha estable permite que seguridad, legal y operación evalúen el mismo objeto sin interpretar cientos de líneas de instrucciones.

También facilita revocación. Si aparece una vulnerabilidad en una herramienta o una restricción de licencia, el inventario puede responder qué skills y agentes dependen de ella.

## Anti-ejemplo

"Está verificada, por tanto es segura." La verificación reduce incertidumbre; no decide si el caso de uso, los datos o la jurisdicción encajan en tu sistema.

Una ficha genérica tampoco sirve. "Puede acceder a datos" debe convertirse en recursos, scopes y condiciones concretas.

## Protocolo (3 pasos)

1. **Documenta intención.** Define owner, uso previsto y exclusiones.
2. **Enumera superficie.** Lista herramientas, datos, outputs y riesgos.
3. **Ata la ficha al artefacto.** Firma y versiona ambos juntos.

Rechaza fichas sin exclusiones. Una capacidad que declara servir para todo no ha documentado su frontera y, por tanto, tampoco su riesgo.

| Campo | Pregunta | Gate |
| --- | --- | --- |
| propósito | para qué sirve | uso aprobado |
| permisos | qué alcanza | mínimo privilegio |
| riesgo | cómo falla | mitigación probada |

## Relacionado

- [Skillspector: instalar skills ya es un problema de supply chain](/magazine/skillspector-instalar-skills-ya-es-problema-supply-chain-es)
- [Agent plugins: el paquete de capacidades necesita release gate](/magazine/agent-plugins-paquete-necesita-release-gate-es)

## Fuentes consultadas

- [NVIDIA: Verified Agent Skills](https://developer.nvidia.com/blog/nvidia-verified-agent-skills-provide-capability-governance-for-ai-agents/)
- [NVIDIA Agent Skills documentation](https://docs.nvidia.com/skills)
- [NVIDIA: Agent Skill Trust Pipeline](https://docs.nvidia.com/skills/agent-skill-trust-pipeline)

## Proximo paso

Crea una skill card para la capacidad más privilegiada de tu stack. Si no puedes nombrar sus límites y su owner, todavía no está lista para producción.

---

_Cite as: Berthelius, V. (2026). "Skill Card: el SBOM de capacidades para agentes". BRTHLS Magazine. https://www.brthls.com/magazine/skill-card-sbom-capacidades-agente-es_