feat: vendorizar as 10 skills do pilar de seguranca em skills/

Copia local (nao fork, nao submodule) de safedeps, sca-audit,
secrets-scan, code-review-security, api-security-review,
web-security-review, cve-triage, patch-prioritization,
dependency-scanning e hermaguard -- commit exato de origem e licenca
de cada uma em skills/NOTICE.md. Elimina o passo de clone externo
pro pilar de seguranca do wf-security-review: git clone deste repo
ja traz tudo funcional.

Corrige tambem o comando de instalacao pro Claude Code nos dois
READMEs e no docs/SKILLS.md: Claude Code exige um diretorio por
skill (skills/<nome>/SKILL.md), nao aceita os .md soltos que o
comando antigo copiava -- confirmado testando a instalacao real.

README.pt-BR.md

@@ -72,6 +72,8 @@ Os workflows carregam essas skills por contexto. Os três pilares do security re
 
 ### 🛡️ Security review: os três pilares
 
+_Vendorizadas em `skills/` — ver [`skills/NOTICE.md`](skills/NOTICE.md) pra origem exata e licença._
+
 | Skill | O que faz | Dono |
 |---|---|---|
 | [`safedeps`](https://github.com/Jeneidi/safedeps) | Consulta o OSV.dev em tempo real; devolve CVE + severidade + versão corrigida pra um `package@version`. Cobre o buraco que um modelo congelado não cobre. | [Jeneidi](https://github.com/Jeneidi) |
@@ -80,6 +82,8 @@ Os workflows carregam essas skills por contexto. Os três pilares do security re
 
 ### 🛡️ Security review: skills de apoio
 
+_Também vendorizadas em `skills/`._
+
 | Skill | O que faz | Dono |
 |---|---|---|
 | [`secrets-scan`](https://github.com/OWASP/secure-agent-playbook) | Encontra credenciais / API keys no código e no git history. | [OWASP](https://github.com/OWASP) |
@@ -133,13 +137,18 @@ Os workflows carregam essas skills por contexto. Os três pilares do security re
 # Hermes Agent:
 cp workflows/*.md ~/.hermes/skills/software-development/
 
-# Claude Code / qualquer agente com diretório de skills:
-mkdir -p ~/.claude/skills && cp workflows/*.md ~/.claude/skills/
+# Claude Code: cada skill no seu proprio diretorio (nao aceita .md solto)
+mkdir -p ~/.claude/skills
+for f in workflows/*.md; do
+  nome=$(basename "$f" .md)
+  mkdir -p "$HOME/.claude/skills/$nome"
+  cp "$f" "$HOME/.claude/skills/$nome/SKILL.md"
+done
 
-# 2. (Opcional, pro security review) instale o safedeps + o checker OSV
-git clone --depth 1 https://github.com/Jeneidi/safedeps.git
-cp -r safedeps/skills/safedeps ~/.hermes/skills/safedeps
-cp safedeps/check_deps.py ~/.hermes/skills/safedeps/
+# 2. (Opcional, pro security review) as skills de apoio ja vem vendorizadas
+# em skills/ -- sem clone externo, so copiar (Hermes; pra Claude Code use o
+# mesmo loop do passo 1 trocando "workflows" por "skills"):
+cp -r skills/* ~/.hermes/skills/
 
 # 3. Use
 # "review this PR for security"  -> wf-security-review carrega