前言¶
在 Cursor、Claude Code 等環境裏安裝第三方 Skill，往往只需一條安裝命令，卻很少有人系統檢查包裏是否藏有惡意腳本、硬編碼密鑰或越權配置。人工翻 SKILL.md 和附屬腳本既慢，也難覆蓋 Prompt 注入、依賴鏈風險這類跨文件問題。
下面介紹 SkillHub 社區技能「自創技能安全檢測技能」（@user_c64d3056/sin129）。它面向待審的第三方 Skill，按八個安全維度做掃描，並給出風險評分、等級、檢測報告與審覈建議，適合上線前把關和定期複檢。
這是什麼¶
「自創技能安全檢測技能」是 SkillHub 上的社區來源（community）技能，座標 @user_c64d3056/sin129，當前版本 1.0.0，分類爲 it-ops-security，發佈者爲 user_c64d3056。頁面標註 requires_api_key=false，安裝後無需額外 API Key 即可使用（以 SkillHub 頁面標籤爲準）。
定位可以概括爲：對第三方 Skill 做結構化安全體檢，把「能不能裝」從主觀判斷變成帶維度的可閱讀結論。
核心功能¶
官方簡介中列出的能力如下，均來自 SkillHub 頁面說明，未在資料中出現的細節不展開。
掃描維度（8 項）¶
- 惡意代碼與後門
- 非法指令與高危調用
- 硬編碼密鑰與敏感信息
- Prompt 注入與惡意誘導
- 權限越權配置
- 第三方依賴安全
- 數據合規與不落地檢查
- 源碼篡改校驗
輸出物¶
掃描完成後，技能會產出：
- 風險評分
- 風險等級
- 檢測報告
- 審覈建議
具體報告字段與判定規則以技能包內 SKILL.md 及安裝後的 Agent 行爲爲準；公開頁面未提供樣例報告，本文不虛構格式。
安裝與啓用¶
SkillHub 推薦兩種方式：用 CLI 安裝到當前 Agent 的 skills 目錄，或把安裝提示詞發給 AI 代爲安裝。
1. 檢查 SkillHub CLI¶
先確認本機是否已有 skillhub：
command -v skillhub && skillhub --version
若未安裝，可按 SkillHub 官方文檔執行完整安裝（含 CLI 與默認 Skill）：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash
僅需要 CLI 時：
curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only
說明與命令來源：SkillHub 安裝與優先源配置。
2. 安裝本技能¶
安裝時必須用 --dir 指向當前 Agent 正在使用的 skills 目錄，否則默認會落到 ./skills/，Agent 可能識別不到。
skillhub install @user_c64d3056/sin129 --dir <skills 目錄>
常用路徑（摘自官方安裝文檔）：
| 環境 | skills 目錄 |
|---|---|
| Cursor | ~/.cursor/skills/ |
| Claude Code | ~/.claude/skills/ |
| Codex | ~/.codex/skills/ 或項目下 .agents/skills/ |
在 Cursor 中可寫成：
skillhub install @user_c64d3056/sin129 --dir ~/.cursor/skills/
安裝後按你所用客戶端的要求重啓或刷新 Agent，使新 Skill 生效。
3. 通過對話讓 AI 安裝¶
SkillHub 頁面提供的提示詞爲：
請根據 https://skillhub.cn/install/skillhub.md，安裝 `@user_c64d3056/sin129`。
適合本機尚未配置 CLI、但希望 Agent 按官方流程拉取並落到正確目錄的場景。
典型用法¶
公開資料未給出固定 CLI 子命令或一鍵腳本示例，典型流程可按「先裝好檢測 Skill，再對目標 Skill 發起掃描」理解：
- 按上一節將
@user_c64d3056/sin129安裝到當前 Agent 的 skills 目錄。 - 準備待檢對象：例如即將上線的第三方 Skill 包、已安裝目錄，或 SkillHub 座標（以你實際持有的材料爲準）。
- 在 Agent 對話中啓用該安全檢測技能，明確待檢 Skill 的位置或標識，請求執行八大維度掃描並查看風險評分、等級、報告與審覈建議。
具體觸發話術、是否支持批量掃描、是否對比歷史基線等，需以安裝包內 SKILL.md 爲準；覈實不到的操作步驟不在此編造。
適用場景與注意¶
官方列出的使用場景¶
- 新 Skill 上線前安全審覈
- 已上線 Skill 定期安全檢查
- Skill 安全風險評估
- 安全合規審計
- 惡意代碼檢測
適合誰¶
- 團隊內維護 Skill 清單、需要在接入前做統一安檢的開發者或平臺同學
- 個人用戶在高權限環境（可執行 shell、讀寫文件）中試用社區 Skill 前的自檢
- 需要做合規留痕、希望輸出「評分 + 報告 + 建議」而不僅是口頭結論的審計場景
使用注意¶
- 社區來源：分類爲
it-ops-security，但仍是社區發佈技能；檢測結果用於輔助決策，不能替代專業滲透測試或法務認定。 - 覆蓋邊界：八個維度覆蓋常見靜態與配置類風險，對運行時行爲、供應鏈零日等問題的能力以技能實現爲準，資料中未承諾的部分不要假設。
- 數據口徑：SkillHub 頁面顯示評分 100000；截至資料抓取時，下載約 1031 次、安裝 2 次（統計會隨時間變化，以 SkillHub 頁面爲準）。
- 與人工審覈配合：自動化掃描應和代碼閱讀、來源可信度、發佈者聲譽一起看；高危項務必按報告中的審覈建議處置後再上線。
結尾¶
第三方 Skill 生態越豐富，供應鏈風險就越值得在「安裝」之前單獨設一道關卡。「自創技能安全檢測技能」把惡意代碼、密鑰泄露、Prompt 注入、權限與依賴等檢查收斂到同一套八維掃描與結構化輸出裏，適合作爲上線前與定期巡檢的固定步驟。
- SkillHub 頁面：https://www.skillhub.cn/skills/user_c64d3056/sin129
- API 座標頁：https://api.skillhub.cn/user_c64d3056/sin129
- 安裝說明：https://skillhub.cn/install/skillhub.md
