前言¶

Agent 的能力越來越多通過 Skill（SKILL.md 及附屬腳本）落地。團隊從社區安裝技能、或自己維護多份 Skill 時，常見做法是人工翻文檔、憑經驗看有沒有硬編碼密鑰、危險命令或越權提示。這種方式在技能數量上來之後很難保持一致，也容易漏掉某次改動引入的風險。

下面介紹 SkillHub 上的社區技能「技能安全掃描修復」（座標 @user_5f9c21aa/skill-security-scanner-pro）。它面向 Skill 文件本身做安全掃描與修復，並在需要時協助驗證修復結果，適合在引入或更新 Skill 前後做一次安全檢查。

這是什麼¶

「技能安全掃描修復」是 SkillHub 分類 it-ops-security 下的社區技能（source: community），當前版本 1.0.0，發佈者爲 user_5f9c21aa（頁面展示作者爲 to the moon（紅狐數據））。

官方簡介概括爲：安全掃描和修復 Skill 文件中的高風險內容；當用戶需要掃描 Skill、檢查安全漏洞、修復安全問題或驗證修復效果時使用。頁面標籤標明 requires_api_key=false，即按 SkillHub 元數據無需單獨配置 API Key 即可安裝使用。

核心功能¶

依據 SkillHub 公開說明，可覈實的能力邊界如下：

1. 安全掃描：針對 Skill 相關文件（以通用 SKILL.md 技能格式爲上下文）識別高風險內容。
2. 安全問題檢查：在用戶提出「檢查安全漏洞」等需求時，按技能指引對目標 Skill 做漏洞向度的審查。
3. 修復與驗證：在發現問題後協助修復，並支持在修復後驗證效果。

具體檢查項、規則列表與輸出格式以安裝後的 SKILL.md 爲準；本文不展開未在官方頁面披露的細則。

安裝與啓用¶

SkillHub 推薦通過官方安裝說明文檔與 CLI 安裝，而不是手動拼湊目錄。

1、安裝 SkillHub CLI（若尚未安裝）¶

先確認本機是否已有 skillhub：

command -v skillhub && skillhub --version

若未安裝，可按 SkillHub 文檔執行完整安裝（CLI + 默認 Skill）：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash

僅安裝 CLI 時：

curl -fsSL https://skillhub-1388575217.cos.ap-guangzhou.myqcloud.com/install/install.sh | bash -s -- --cli-only

完整步驟與優先源配置見：SkillHub 安裝與優先源配置。

2、安裝本技能¶

安裝時必須用 --dir 指向當前 Agent 實際識別的 skills 目錄；默認裝到 ./skills/ 時，部分客戶端不會加載，且通常需要重啓客戶端後生效。

SkillHub 頁面給出的安裝提示爲：根據 https://skillhub.cn/install/skillhub.md 安裝 @user_5f9c21aa/skill-security-scanner-pro。

在已安裝 CLI 的前提下，可按第三節「技能操作」的慣例執行（將 <skills 目錄> 換成你當前環境的路徑）：

skillhub install user_5f9c21aa/skill-security-scanner-pro --dir <skills 目錄>

常用客戶端 skills 目錄示例（來自 SkillHub 安裝文檔）：

• Cursor：~/.cursor/skills/
• Claude Code：~/.claude/skills/
• Codex：~/.codex/skills/ 或項目下的 .agents/skills/

也可在對話中把上述安裝提示發給 AI，由其按 skillhub.md 完成安裝；座標與版本以 SkillHub 頁面爲準（當前 v1.0.0）。

典型用法¶

公開資料未附帶逐步截圖或固定 CLI 子命令，可復現的用法是與技能簡介一致的對話式觸發：

1. 在 Agent 中啓用本技能後，指明要檢查的 Skill 路徑或倉庫內技能目錄。
2. 用自然語言說明意圖，例如：「掃描這個 Skill 的安全風險」「檢查 SKILL.md 是否有高風險指令」「修復並再驗證一遍」。
3. Agent 按 SKILL.md 中的流程執行掃描、修復與驗證；具體報告格式以技能正文爲準。

若你通過 SkillHub CLI 安裝，安裝完成後重啓對應客戶端，再在項目或全局 skills 目錄中確認已出現 skill-security-scanner-pro（或發佈包內實際目錄名）。

適用場景與注意¶

適合誰

• 維護多套社區 Skill 或內部 Skill 的團隊，希望在合併、發佈前統一做安全掃一遍。
• 個人開發者從 SkillHub 拉取 it-ops-security 類技能後，想對本地副本做二次確認。

使用注意

• 本技能是輔助審查與修復指引，不能替代專業滲透測試或組織級安全基線；高風險環境仍應結合人工評審與既有安全流程。
• SkillHub 元數據顯示評分爲 100000、下載 1020、安裝 2（統計隨平臺更新變化，引用時以頁面爲準）。
• 社區來源（community）意味着維護節奏與規則更新取決於發佈者；升級可用 skillhub 的更新能力（參見安裝文檔），並對比版本 1.0.0 是否有新版本。

結尾¶

「技能安全掃描修復」把「掃 Skill → 查漏洞 → 修問題 → 驗結果」收斂到一條 Agent 技能鏈路上，適合在技能引入與迭代時降低遺漏風險。安裝與座標以 SkillHub 爲準：

• 技能頁：https://www.skillhub.cn/skills/user_5f9c21aa/skill-security-scanner-pro
• API 座標入口：https://api.skillhub.cn/user_5f9c21aa/skill-security-scanner-pro
• 安裝說明：https://skillhub.cn/install/skillhub.md