파이프라인 실행 절차를 Claude Code Skill 3종으로 등록

세 파이프라인의 실행법이 문서에만 있어 "그 문서를 읽어야만" 알 수 있었다.
관련 작업 시 자동 로드되도록 Skill 로 등록한다.

- catalog-update-pipeline: agent/update_catalog 파이프라인. CATALOG_ROOT 가
  개인 로컬 경로로 하드코딩돼 있어 오버라이드 필수라는 점, create_pr 단계가
  주석 처리돼 PR 이 생성되지 않는다는 점을 명시했다.
- sbom-cve-gate: SBOM·스캔·게이트. CoverageProbe(ok/none/n-a) 해석과 게이트가
  현재 warn-only 라는 점을 명시했다.
- self-build-image: 자체 빌드. 오케스트레이터는 하나뿐이라는 원칙과 전역 ARG
  선언, 게이트 PASS 가 동작을 보장하지 않는다는 점을 명시했다.

Skill 은 절차 본문을 복제하지 않고 권위 문서를 가리킨다 — 문서가 단일 출처이고
Skill 은 실행 계약과 함정·현재 상태만 담는다.

함께 고친 stale 문서(image-authoring.md):
- "images/ 디렉토리 자체가 없다" → 실제로는 이미지 3종이 있고 push 까지 됐다
- "자동화된 배포 테스트 절차는 아직 없다" → deploy-test-procedure.md 와
  전용 스크립트가 있다

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.claude/skills/sbom-cve-gate/SKILL.md

@@ -0,0 +1,66 @@
+---
+name: sbom-cve-gate
+description: 카탈로그 이미지의 SBOM 생성·CVE 스캔·게이트 판정을 실행하거나 결과를 해석할 때 사용한다. "SBOM 만들어줘", "취약점 스캔 돌려줘", "CVE 게이트 확인", "이 이미지 CRITICAL 몇 개야", "예외 등록" 같은 요청이 해당한다. scripts/pipeline/(extract-helm-images.sh, generate-sbom.sh, scan-sbom.sh, cve-gate.py)과 sbom.yml 워크플로를 다룬다.
+---
+
+# SBOM·CVE 게이트 실행
+
+```
+extract-helm-images.sh → generate-sbom.sh → scan-sbom.sh(+CoverageProbe) → cve-gate.py
+```
+
+## 실행 경로 2가지
+
+**기본은 GitHub 워크플로다** — 파이프라인은 도구가 설치된 컨테이너(`vars.SBOM_PIPELINE_IMAGE`)
+안에서 돈다.
+
+```sh
+gh workflow run helm-catalog-sbom --repo <org>/dip-catalog -f limit=3   # 빠른 검증
+gh workflow run helm-catalog-sbom --repo <org>/dip-catalog              # 전체(limit=0)
+gh run watch --repo <org>/dip-catalog
+```
+
+로컬에서 돌릴 때도 같은 컨테이너를 쓴다(정확한 `docker run` 명령은
+[doc/sbom-pipeline.md](../../../doc/sbom-pipeline.md) "로컬/컨테이너 실행" 참고).
+레지스트리 인증이 필요하다 — `TRIVY_USERNAME`/`TRIVY_PASSWORD`(단일) 또는 `DOCKER_CONFIG`(다중).
+빠른 검증은 generate 단계에 `LIMIT=3`.
+
+## 결과 해석 시 반드시 볼 것
+
+**`CoverageProbe`를 먼저 본다.** findings 0건이 "진짜 0건"인지 "스캐너가 그 배포판을 모르는
+것"인지 구분하는 유일한 수단이다.
+
+| 값 | 의미 |
+|---|---|
+| `ok` | 데이터 있음 — 0건은 진짜 0건 |
+| `none` | 데이터 없음 → **게이트가 차단한다**(거짓 clean) |
+| `n/a` | OS 패키지 없음(distroless 등) |
+
+게이트는 고유 CVE 단위로 집계하고 **`max(벤더 등급, NVD 등급)`** 를 실효 등급으로 쓴다 —
+벤더가 하향 평가한 CVE를 놓치지 않기 위함이다(`.claude/pitfalls.md` "스캐너 결과를 그대로
+믿지 말 것"). 승인 예외는 `doc/cve-exceptions.json`(근거·만료일 필수, `.trivyignore` 안 씀).
+
+## 현재 상태 — 게이트는 warn-only다
+
+`sbom.yml`은 `cve-gate.py`를 `--warn-only`로 호출한다. **게이트가 실패해도 워크플로/PR을
+막지 않는다.** 45+ 카탈로그 차트가 아직 이 게이트로 트리아지된 적이 없어, 강제 전환 전에
+전체 스캔 1회로 현황 파악이 선행돼야 한다.
+
+최신 미결 사항·전환 판단 근거는 [MEMORY.md](../../../MEMORY.md)를 본다 — 이 skill에
+중복 기록하지 않는다.
+
+## 차단 CVE 대응 우선순위
+
+```
+상위 태그 교체 → 베이스 OS 교체 → 자체 빌드 → 예외 승인
+```
+
+자체 빌드로 가야 한다면 `self-build-image` skill과
+[.claude/image-authoring.md](../../image-authoring.md)를 따른다. 판정 로직 상세는
+`scripts/pipeline/cve-gate.py`의 모듈 docstring을 1차 출처로 본다.
+
+## 참고
+
+- [doc/sbom-pipeline.md](../../../doc/sbom-pipeline.md) — 파이프라인 상세(단계별 입출력, 실행 이미지)
+- `doc/cve-exceptions.json` — 승인 예외
+- [.claude/pitfalls.md](../../pitfalls.md) — 스캐너 신뢰 관련 실측 함정