Des consignes et commandes à copier pour les agents Core et chaque pack, avec ce qu’ils font réellement : Atlas, Forge, Sentinel, Nexus, Shadow, Zecher, SEO, Shield, Dev Studio, Atelier, la CLI.
Chaque recette est une consigne à coller dans votre outil IA (ou une commande pour votre terminal) et la description de ce qu’il fait d’après les fichiers qui définissent l’agent. Remplacez les détails du projet par les vôtres. Les résultats ne sont énoncés que dans la mesure où le dépôt les définit ; ce qui dépend de votre modèle ou de votre outil est signalé comme tel. Les consignes qui nomment une personne, un site ou une entreprise sont des exemples : n’utilisez que des cibles que vous avez le droit d’analyser.
Atlas a deux rôles, Analyste et Product Manager. Des mots comme « analyze », « market » ou « benchmark » le font passer en rôle Analyste ; il annonce le changement et vous pouvez répondre « skip ». À l’activation, Atlas vous salue et affiche son menu de capacités, puis attend : donnez la demande ci-dessous ou le code de menu MR.
Dans votre assistant IA
Atlas, analyse le marché des applications de prise de notes par IA. Identifie les principaux segments, trois concurrents directs et deux alternatives indirectes, ce que chacun facture, et où un nouvel entrant pourrait se distinguer. Sépare ce que tu sais de ce que tu supposes, et nomme les sources utilisées.
Ce que vous devriez obtenir Une analyse de marché et de concurrence par le rôle Analyste (capacité MR). Son contenu dépend du modèle et de l’accès web de votre outil ; la consigne demande des sources et des hypothèses, traitez donc toute affirmation sans source comme non vérifiée.
À utiliser une fois un PRD ou un brief écrit. Des mots comme « architecture », « API » ou « schema », ou un changement touchant plus de cinq fichiers, font passer Forge en rôle Architecte.
Dans votre assistant IA
Forge, propose une architecture pour l’application décrite dans _bmad-output/discovery/prd.md. Donne la stack avec la raison de chaque choix, les composants principaux et leurs frontières, le modèle de données, l’hypothèse la plus risquée et comment la tester d’abord. Garde les alternatives écartées et pourquoi.
Ce que vous devriez obtenir Un document d’architecture (capacité CA), écrit sous _bmad-output/ ; c’est la compétence qui choisit le nom du fichier, lisez donc le chemin qu’elle indique. En autopilot, c’est l’entrée du point de contrôle architecture, où vous l’approuvez avant que toute story soit planifiée.
Sentinel : relire l’UX et l’accessibilité d’un écran#
Le rôle Relecteur UX de Sentinel. Si le pack Design est installé, les règles d’Atelier gouvernent le design visuel et l’accessibilité et Sentinel les lui cède.
Dans votre assistant IA
Sentinel, relis l’UX du tableau de bord dans src/pages/dashboard. Vérifie la navigation au clavier, la visibilité du focus, le contraste des couleurs, les états vides et d’erreur, et ce qui se passe sur un écran de 360 px de large. Liste les constats par gravité avec le fichier et l’élément, et dis quels contrôles tu n’as pu qu’inspecter et non exécuter.
Ce que vous devriez obtenir Une revue UX du rôle Relecteur UX de Sentinel, avec des constats classés par gravité. Qu’un contrôle ait été exécuté ou seulement lu dans le code dépend de ce que votre outil peut exécuter ; le rapport doit dire lequel.
Nexus dans son rôle de Scrum Master. À utiliser une fois l’architecture approuvée.
Dans votre assistant IA
Nexus, crée les epics et stories du MVP à partir du PRD et de l’architecture. Chaque story doit avoir des critères d’acceptation que je peux vérifier, ses dépendances et les fichiers qu’elle risque de toucher, pour que des stories indépendantes puissent tourner en parallèle plus tard. Ordonne-les et marque la première à construire.
Ce que vous devriez obtenir Des fichiers de stories (capacité ES) sous _bmad-output/ ; c’est la compétence qui choisit le dossier, lisez donc les chemins qu’elle indique. Un plan de sprint (SP) ne suit que si vous en demandez un. Les listes de fichiers par story servent ensuite au Parallel Supervisor pour décider quelles stories ne se heurtent pas.
Shadow : un contrôle de diligence avec base légale consignée#
Pack OSINT, encadré. Une personne nommée ou une opération sur des données personnelles exige d’abord un but, une base légale, une durée de conservation et une voie d’effacement consignés (la porte de la phase moins 1). La recherche sur une entreprise ou un marché n’est pas concernée. Au moins une clé d’API de fournisseur doit être définie.
Dans votre assistant IA
Shadow, fais un contrôle de diligence sur le fournisseur Acme Ltd et son dirigeant. But : intégration du fournisseur pour une signature de contrat le mois prochain. Base légale : intérêt légitime, article 6(1)(f), avec le test de mise en balance écrit. Conservation : 12 mois. Les demandes d’effacement vont à privacy@example.com. Consigne cela avant de chercher, garde le budget sous 0,50 dollar sauf accord de ma part, et note chaque fait de A à D.
Ce que vous devriez obtenir La fiche de base légale est établie d’abord. Le dossier s’ouvre sur l’avertissement « AI-generated OSINT output - may contain errors; not legal advice » et chaque fait porte un niveau de confiance (A trois sources ou plus, B deux, C une, D non vérifié). Selon le fichier de l’agent, les rapports sont enregistrés sous {output_folder}/osint-reports/ ; la compétence d’enquête peut utiliser ses propres dossiers, lisez donc le chemin qu’elle indique. Sans but ni base légale énoncés, l’agent refuse l’opération sur une personne nommée et propose des alternatives non personnelles. Le profilage de personnalité exige une condition distincte de l’article 9(2) du RGPD.
Pack Memory. Le scan est interactif : rien n’est indexé avant que vous confirmiez chaque projet. L’équivalent CLI est npx bmad-plus scan ~/dev --depth 4.
Dans votre assistant IA
Zecher, scanne les projets dans ~/dev. Ignore les dossiers node_modules, vendor et build. Montre-moi un tableau avec le nom du projet, la stack détectée, le statut (actif, en pause ou archivé selon la dernière modification) et si BMAD+ est installé, puis laisse-moi confirmer, modifier, ignorer ou installer pour chacun avant d’écrire l’index.
Ce que vous devriez obtenir Un tableau des projets découverts avec un statut tiré de leur dernière modification (actif sous 30 jours, en pause de 30 à 180, archivé au-delà), un choix par projet, puis une fiche YAML par projet confirmé sous ~/.bmad-plus/brain/projects/ et un projects-index.md lisible. Puis un bilan du nombre de projets indexés, nouveaux et mis à jour.
Backup Manager : une archive horodatée et une rotation#
Pack Backup. L’agent adapte les commandes à votre système (PowerShell ou Bash) et demande confirmation avant de supprimer une sauvegarde.
Dans votre assistant IA
/backup avant que je refactorise le module de facturation, puis montre-moi le nom de l’archive et sa taille.
Ce que vous devriez obtenir Un ZIP nommé <project>_backup_<yyyyMMdd_HHmmss>.zip dans un dossier backups/ du projet, qui laisse de côté, à la racine du projet seulement, node_modules, .git, vendor, backups/, __pycache__ et *.backup_* (un dossier node_modules plus profond dans l’arborescence est archivé). La forme PowerShell affiche la taille ; la forme Bash n’affiche que le nom du fichier. Enchaînez avec /backup-list pour lister les archives, /backup-restore pour en décompresser une dans un nouveau dossier restore_<timestamp>/ (vos fichiers ne sont pas écrasés), et /backup-clean pour ne garder que les N dernières (5 par défaut) après vous avoir demandé.
Animated Website Creator : une page pilotée par le scroll à partir d’une vidéo#
Pack Animated. Demande FFmpeg et FFprobe (avec l’encodeur libwebp), un MP4, et Python 3 seulement pour l’aperçu local. Le pack ne livre aucun script d’extraction : l’agent extrait les images avec deux commandes ffmpeg.
Dans votre assistant IA
Transforme product-demo.mp4 en site web piloté par le scroll, dans le style Apple. Analyse d’abord la vidéo avec ffprobe et montre-moi la durée, la résolution, la cadence et le nombre d’images que tu recommandes. Attends ma confirmation avant d’extraire les images. Puis prépare les six sections de superposition (hero, vision, détails, grille, contexte, appel à l’action) et demande-moi leur contenu.
Ce que vous devriez obtenir Un tableau d’analyse de la vidéo, puis un nombre d’images recommandé selon la durée (0 à 5 s : 60 à 90 images et 400vh ; 5 à 15 s : 100 à 150 et 650vh ; 15 à 30 s : 150 à 200 et 800vh ; au-delà de 30 s : plafonné à 200 et 900vh). Après confirmation, des images WebP pour le bureau (1920x1080) et le mobile (960x540) avec un manifeste, dans un budget de 10 Mo pour le bureau et 5 Mo pour le mobile, puis un fichier HTML unique avec le design system intégré. Par défaut, la page utilise les polices système et ne fait aucune requête externe ; l’agent demande d’abord, et Google Fonts n’est utilisé que sur demande explicite, après avoir prévenu que le navigateur de chaque visiteur contacterait alors Google.
Pack SEO, agent Scout (rôle Inspecteur). Seules l’URL que vous donnez et ses liens internes sont récupérés, adresses publiques uniquement. Sans environnement Python utilisable (à la demande avec install --provision-python), l’agent travaille en mode consignes seules et marque les catégories non vérifiées au lieu de calculer une note.
Dans votre assistant IA
SEO Scout, lance l’inspection technique (la routine /seo technical) sur https://staging.example.com avant notre lancement. Rapporte par gravité les constats d’explorabilité, d’indexabilité, de sécurité, de structure des URL et de mobile, et dis quelles catégories tu n’as pas pu vérifier.
Ce que vous devriez obtenir La phase technique seulement : explorabilité, indexabilité, sécurité, structure des URL, mobile, Core Web Vitals, détection des données structurées, rendu JavaScript et IndexNow, avec des constats par niveau de gravité. La compétence SEO définit ces sous-commandes, que vous pouvez demander dans une phrase (ce sont des noms que la compétence comprend, pas des commandes slash enregistrées dans votre outil) : /seo full <url> (les six phases), /seo quick <url> (phases 1 à 4), /seo content, /seo schema, /seo images, /seo hreflang, /seo pagespeed, /seo plan <type>, /seo fix, /seo history, /seo compare, /seo competitor <url1> <url2> et /seo api <url>.
SEO : un site est-il prêt pour la recherche par IA ?#
Pack SEO, agent Judge (rôle Analyste GEO). Il lit ce que les robots peuvent atteindre ; il n’interroge aucun service d’IA.
Dans votre assistant IA
SEO Judge, vérifie si le blog de https://example.com/blog est prêt pour la recherche par IA (la routine /seo geo) : accès des robots GPTBot, ClaudeBot et PerplexityBot, llms.txt, et quels passages une réponse d’IA pourrait citer. Marque ce que tu n’as pas pu vérifier au lieu de le noter.
Ce que vous devriez obtenir Une analyse de l’accès des robots (GPTBot, ClaudeBot, PerplexityBot), de la présence et de la qualité de llms.txt, de la citabilité des blocs de contenu (le guide regarde des blocs d’environ 134 à 167 mots) et un AI Readiness Score, mais seulement quand toutes les entrées sont vérifiées ; sinon les parties touchées sont marquées unverified et aucune note globale n’est donnée.
Pack Shield. L’orchestrateur route selon vos mots vers le bon spécialiste (ici gdpr-agent, qui a sept workflows). Chaque rapport est marqué généré par IA et « not legal advice ».
Dans votre assistant IA
Shield, demande au spécialiste RGPD (gdpr-agent) de passer en revue le code et les flux de données de mon SaaS dans ce dépôt : quelles données personnelles sont collectées, où elles sont stockées et envoyées, la base légale que tu peux déduire, la conservation, les droits des personnes et les sous-traitants. Liste les écarts par gravité avec le fichier qui montre chacun, et dis ce que tu n’as pas pu déterminer à partir du code seul.
Ce que vous devriez obtenir Un audit structuré du spécialiste RGPD (audit de code et de système, avec revue des flux de données et des données personnelles parmi ses workflows), terminé par la mention « not legal advice ». Les constats sont un point de départ pour votre DPO ou votre conseil, pas une certification. Workflows voisins : dpia-sentinel (analyse d’impact), breach-sentinel (articles 33 et 34, notification sous 72 heures), legitimate-interest, privacy-notice-gen et cookie-policy-gen.
Shield : comparer deux référentiels dans un rapport#
Quand une demande touche plusieurs référentiels, l’orchestrateur liste ceux qui sont pertinents avec un niveau de confiance, route vers chaque spécialiste, met en correspondance les contrôles entre référentiels et écrit un rapport consolidé.
Dans votre assistant IA
Shield, fais une analyse d’écart entre ISO 27001 et NIST CSF 2.0 pour notre entreprise. Utilise le spécialiste ISO 27001 et le spécialiste NIST CSF, mets en correspondance les contrôles entre les deux référentiels et donne-moi un rapport consolidé : où nous sommes couverts une fois pour les deux, où un seul est couvert, et quoi faire en premier. Énonce tes hypothèses sur notre périmètre.
Ce que vous devriez obtenir Un rapport consolidé construit à partir du gabarit commun de rapport d’audit, avec une correspondance entre référentiels et des actions priorisées, marqué généré par IA et « not legal advice ». La profondeur de l’analyse de chaque spécialiste dépend de ce que vous lui donnez sur votre organisation.
Shield : rédiger une analyse d’impact relative à la protection des données#
Le workflow dpia-sentinel suit l’article 35 du RGPD en sept étapes, de l’évaluation du seuil à la consultation préalable, avec une section sur les considérations propres à l’IA.
Dans votre assistant IA
Shield, mène une AIPD pour notre moteur de recommandation, qui note les utilisateurs d’après leur historique de navigation. Commence par l’évaluation du seuil. Demande-moi les faits manquants sur la nature, la portée, le contexte et la finalité du traitement au lieu de les inventer, puis produis le document avec ses sections numérotées et laisse l’avis du DPO et la signature aux personnes qui doivent les donner.
Ce que vous devriez obtenir Un document d’AIPD en neuf sections numérotées : informations sur le projet, évaluation du seuil, description du traitement, nécessité et proportionnalité, risques pour les personnes, mesures d’atténuation, avis du DPO, conclusion et signature. Les sections 7 (avis du DPO) et 9 (signature) sont à remplir par des personnes.
Shield : un dossier d’assurance dont la preuve est un contrôle exécuté#
Pack Shield avec la CLI BMAD+. Le fichier de dossier se trouve dans _bmad/assurance/<case>.yaml ; le registre runs.jsonl consigne chaque exécution de contrôle. Définissez BMAD_PLUS_ASSURANCE_KEY (32 caractères au moins) pour signer les enregistrements par un HMAC.
Dans votre assistant IA
Shield, construis un dossier d’assurance pour la version 1.4 avec bmad-plus assurance init _bmad/assurance/release-1-4.yaml. Déclare des affirmations comme « les dépendances n’ont aucun avis de gravité haute » et « les tests de contrôle d’accès passent », chacune appuyée par une commande que j’ai déjà dans le dépôt. Lance bmad-plus assurance run pour les contrôles, puis bmad-plus assurance verify, et dis quelles affirmations sont supported ou unsupported et, pour chaque affirmation unsupported, si son contrôle est missing, failed ou stale. Ne marque pas une affirmation supported si son contrôle n’a pas tourné.
Ce que vous devriez obtenir Un fichier de dossier créé à partir du gabarit Shield, un registre chaîné par hash des commandes exécutées (seules les commandes listées dans votre propre fichier de dossier s’exécutent, et seulement sur un assurance run explicite), et un verdict : verify sort avec 0 quand les affirmations sont étayées et 1 sinon. Une affirmation étayée signifie qu’un contrôle nommé a réussi ; ce n’est pas une certification.
Pack Dev Studio : six personas (Miriam, Huldah, Yosef, Rachel, Bezalel, Oholiab) et 38 workflows Markdown que votre assistant exécute. La CLI ne fait que préparer un contexte en lecture seule.
Dans votre assistant IA
Miriam, utilise product-brief pour définir une boîte de retours pour des techniciens de terrain qui travaillent hors ligne une grande partie de la journée. Limite le premier périmètre à ce qui fonctionne sans connexion.
Ce que vous devriez obtenir Un rapport dans _bmad-output/dev-studio/product-brief.md (l’emplacement par défaut d’un rapport de workflow est _bmad-output/dev-studio/<workflow-id>.md) qui énonce le problème du produit, le public et le premier périmètre utile. Pour voir exactement ce que recevra le workflow, lancez npx bmad-plus studio prepare product-brief --request "Define a feedback inbox that works offline" --json : il résout la configuration, charge les instructions livrées, enregistre leurs hashes et propose le chemin du rapport, sans rien exécuter ni écrire.
Le workflow investigate de la persona ingénieur produit des hypothèses, une preuve de reproduction et une action suivante. Listez les workflows avec npx bmad-plus studio list --json.
Dans votre assistant IA
Oholiab, utilise investigate pour reproduire l’échec d’import décrit dans docs/issue.md. Énonce d’abord tes hypothèses, reproduis l’échec avec une commande que je peux relancer, montre sa sortie réelle, et arrête-toi à l’action suivante sans modifier le code.
Ce que vous devriez obtenir Un rapport avec les hypothèses, la commande de reproduction et sa sortie réelle, et une action suivante proposée. Le workflow est un ensemble d’instructions Markdown : que la commande puisse réellement s’exécuter dépend des permissions de votre outil, et un échec d’exécution est signalé, pas masqué.
Pack Design, rôle Relecteur. L’audit suit la compétence design-review ; le rapport étiquette chaque constat tool (une commande a tourné et sa sortie est citée) ou inspection (lu face à la liste). Une revue ne modifie rien.
Dans votre assistant IA
/design review src/
Ce que vous devriez obtenir Un rapport dans _bmad-output/design/review.md avec des constats classés à partir des blocages d’accessibilité, chacun étiqueté tool ou inspection. Un chiffre n’apparaît que sous tool ; un contrôle attendu par la compétence mais impossible à exécuter est listé sous « not run », jamais estimé. Autres commandes : /design read, /design build <surface>, /design redesign et /design tokens.
Une commande de terminal, pas une consigne de conversation. Elle analyse le projet, recommande des packs, les installe et se termine par des consignes suivantes suggérées.
Dans votre assistant IA
npx bmad-plus autoconfig --yes
Ce que vous devriez obtenir La stack et la structure détectées avec un pourcentage de santé du projet, puis les packs recommandés : toujours Core et Memory ; Dev Studio quand le projet n’a pas de docs/ ou plus de cinq dossiers de premier niveau ; Shield quand il trouve du CI/CD ou Docker ; SEO pour Next.js, Nuxt, Angular, React, Vue.js ou Svelte. Il les installe (avec --yes, sans demander) et affiche quelques premières consignes recommandées, comme demander à Sentinel de mettre en place un framework de test quand il n’y en a pas. Lors d’une exécution réelle sur un projet nu, il s’est terminé par « Autoconfig complete! ».
Une commande de terminal pour la CI ou une vérification préalable. doctor est en lecture seule, ne contacte jamais npm et sort avec 1 sur toute erreur.
Dans votre assistant IA
npx bmad-plus doctor --json
Ce que vous devriez obtenir Un rapport JSON avec schemaVersion, status (ok pour une installation saine), les versions installée et de la CLI, l’inventaire de propriété (complete avec le nombre de fichiers suivis), chaque pack avec ses ressources requises, les intégrations, les runtimes et les contrôles individuels. Ajoutez --verify-python pour exécuter en isolation l’interpréteur Python provisionné d’un pack et confirmer que ses modules s’importent.