feat: vendorizar as 10 skills do pilar de seguranca em skills/

Copia local (nao fork, nao submodule) de safedeps, sca-audit,
secrets-scan, code-review-security, api-security-review,
web-security-review, cve-triage, patch-prioritization,
dependency-scanning e hermaguard -- commit exato de origem e licenca
de cada uma em skills/NOTICE.md. Elimina o passo de clone externo
pro pilar de seguranca do wf-security-review: git clone deste repo
ja traz tudo funcional.

Corrige tambem o comando de instalacao pro Claude Code nos dois
READMEs e no docs/SKILLS.md: Claude Code exige um diretorio por
skill (skills/<nome>/SKILL.md), nao aceita os .md soltos que o
comando antigo copiava -- confirmado testando a instalacao real.

docs/SKILLS.md

@@ -1,7 +1,9 @@
 # Skills usadas e de onde vieram
 
 Este é o inventário do que os workflows carregam. Cada skill é um diretório
-com um `SKILL.md`; para o Hermes Agent, vão em `~/.hermes/skills/`.
+com um `SKILL.md`; para o Hermes Agent, vão em `~/.hermes/skills/`; para
+Claude Code, em `~/.claude/skills/<nome>/SKILL.md` (subdiretório por skill —
+Claude Code não carrega arquivo `.md` solto, precisa do diretório).
 
 ## Workflows orquestradores (em `workflows/`)
 
@@ -23,6 +25,10 @@ com um `SKILL.md`; para o Hermes Agent, vão em `~/.hermes/skills/`.
 
 ## Pilar de segurança (wf-security-review)
 
+**Vendorizadas neste repo** em `skills/<nome>/` — ver `skills/NOTICE.md` pra
+origem exata (commit + licença) de cada uma. Não precisa clonar nada externo
+pra este pilar.
+
 | Skill | Origem | O que faz |
 |---|---|---|
 | `safedeps` | [Jeneidi/safedeps](https://github.com/Jeneidi/safedeps) | Consulta OSV.dev em tempo real; CVE por `package@version` com severidade e versão de fix. Inclui o script `check_deps.py` |
@@ -77,7 +83,25 @@ com um `SKILL.md`; para o Hermes Agent, vão em `~/.hermes/skills/`.
 
 ## Como instalar as skills de origem
 
-A maioria instala via `npx skills` (formato agentskills.io):
+**Pilar de segurança:** já vem vendorizado em `skills/` neste repo — sem
+clone externo. Copie direto:
+
+```bash
+# Hermes Agent:
+cp -r skills/* ~/.hermes/skills/
+
+# Claude Code (cada skill no seu próprio diretório):
+mkdir -p ~/.claude/skills
+for d in skills/*/; do
+  nome=$(basename "$d")
+  [ "$nome" = "NOTICE.md" ] && continue
+  mkdir -p "~/.claude/skills/$nome"
+  cp -r "$d." "~/.claude/skills/$nome/"
+done
+```
+
+**Frontend/backend/arquitetura** (ainda não vendorizadas, instalam de fora):
+a maioria via `npx skills` (formato agentskills.io):
 
 ```bash
 npx skills add anthropics/skills --skill frontend-design
@@ -85,22 +109,3 @@ npx skills add vercel-labs/agent-skills --skill vercel-react-best-practices
 npx skills add conorbronsdon/avoid-ai-writing
 npx skills add https://github.com/pbakaus/impeccable --skill impeccable
 ```
-
-As de segurança do OWASP e UnitOne instalam clonando e copiando o diretório
-da skill:
-
-```bash
-git clone --depth 1 https://github.com/OWASP/secure-agent-playbook.git
-cp -r secure-agent-playbook/plugins/code-security-skills/skills/{sca-audit,secrets-scan} ~/.hermes/skills/
-
-git clone --depth 1 https://github.com/UnitOneAI/SecuritySkills.git
-cp -r SecuritySkills/skills/vuln-management/{cve-triage,patch-prioritization} ~/.hermes/skills/
-```
-
-O safedeps precisa do script junto da skill:
-
-```bash
-git clone --depth 1 https://github.com/Jeneidi/safedeps.git
-cp -r safedeps/skills/safedeps ~/.hermes/skills/safedeps
-cp safedeps/check_deps.py ~/.hermes/skills/safedeps/
-```