前言¶

研发机上同时装着 Cursor、Claude Code、WorkBuddy、QoderWork 等 AI 助手时，配置目录分散、权限与行为难以统一审计，安全团队往往只能靠人工抽查或零散脚本。下面介绍 SkillHub 上的 AI智能体安全扫描工具（@user_239f6ce2/agent-security-scanner-huyiwanghe）：在本机自动发现已安装的智能体，按多层规则做覆盖扫描，并生成可离线查看的 HTML 报告与 JSON 告警数据，也支持在同一台机器上安排周期性扫描。

这是什么¶

这是一款面向企业研发终端的 AI 智能体安全可视化检测 Skill，由社区发布者 user_239f6ce2 维护，当前版本 6.3.8，分类为 it-ops-security，SkillHub 标注 requires_api_key=false（不依赖额外 API Key）。

定位可以概括为：自动发现本机各类 AI 编程与智能助手，对配置、行为与运行框架做多层安全扫描，输出 HTML 可视化报告与告警明细，帮助看清单台研发机器上的 AI 风险面。

核心功能¶

以下能力来自 Skill 官方简介与 SkillHub 页面说明，安装后通过自然语言触发（见下文「典型用法」）由 Agent 调用 Skill 完成。

多智能体发现与适配

• 自动发现本机已安装的智能体；内置 50+ 智能体定义，并支持对未知智能体数据目录的通用自动发现。
• 官方列举的可扫描类型包括 WorkBuddy、MiniMax Code、QoderWork、QCLAW、Claude、Cursor 等（以 Skill 内置定义与实际本机安装为准）。

多层规则扫描

• 41 条加密规则，覆盖 L1 文件、L2 行为、L3 框架 层。
• 14 条传感器规则，覆盖 L4 运行时、L5 篡改、L6 供应链 层。
• 支持多智能体自动发现后的全量扫描，而非只针对单一产品目录。

报告与告警输出

• 生成自包含的 HTML 安全报告，便于阅读与归档。
• 同步产出 JSON 告警数据，便于对接后续处理或留存。

单机授权与定时扫描

• 内置单机 License 认证（面向单台机器使用场景）。
• 支持在同一台机器上配置 周期性 安全扫描（具体调度方式以 Skill 内说明与 Agent 执行为准）。

安装与启用¶

Skill 基于通用 SKILL.md 格式，通过 SkillHub 安装到当前 Agent 的 skills 目录后才会被识别。

方式一：让 AI 按官方提示安装

将 SkillHub 页面给出的提示词发给当前 AI 客户端即可，核心是引用安装文档并指定坐标：

请根据 https://skillhub.cn/install/skillhub.md，安装 `@user_239f6ce2/agent-security-scanner-huyiwanghe`。

方式二：使用 SkillHub CLI

先确认是否已安装 CLI：

command -v skillhub && skillhub --version

未安装时可按 SkillHub 安装文档执行完整安装或仅 CLI（文档地址：https://skillhub.cn/install/skillhub.md）。安装技能时必须用 --dir 指向当前 Agent 的 skills 目录，否则默认落在 ./skills/ 可能无法被客户端加载。

skillhub install @user_239f6ce2/agent-security-scanner-huyiwanghe --dir <skills 目录>

常见客户端 skills 路径示例（以 SkillHub 安装文档为准）：

• Cursor：~/.cursor/skills/
• Claude Code：~/.claude/skills/
• Codex：~/.codex/skills/ 或项目下的 .agents/skills/
• QoderWork：~/.qoderwork/skills/
• workbuddy：~/.workbuddy/skills/

安装后若客户端未立即加载新 Skill，按所用产品的说明重启或刷新 skills 目录。

典型用法¶

在已启用该 Skill 的 Agent 中，用与能力相关的自然语言即可触发扫描或查看结果。官方给出的触发方向包括：

• 中文：安全扫描、扫描智能体、安全检测、多智能体扫描、定时安全扫描、查看安全报告、查看告警
• 英文：agent security scan

可复现的表述示例（语义需与上述触发词一致，由 Agent 调用 Skill 执行）：

1. 对本机已安装的 AI 智能体做一次安全扫描，并生成 HTML 报告。
2. 扫描智能体安全风险，输出告警报告（HTML + JSON）。
3. 在本机配置定时安全扫描（周期性 agent security scan）。

经过上面的步骤，产物应为自包含 HTML 报告及 JSON 告警明细；具体路径与文件名以 Skill 执行结果为准。

适用场景与注意¶

适合谁

• 需要在研发终端上统一摸清「装了哪些 AI 助手、风险点在哪」的安全或研发效能团队。
• 希望在单机维度留存可读的 HTML 报告，并保留 JSON 告警以便后续处理的场景。

使用注意

• 扫描对象为本机已安装智能体及其数据目录，效果取决于本机实际安装产品与 Skill 内置/自动发现能力。
• 规则集为加密规则与传感器规则的组合，细节以 Skill 版本 6.3.8 为准；升级 Skill 后规则与报告格式可能变化，建议在变更后重新跑一轮基线扫描。
• 单机 License 与定时扫描均针对单台机器场景，分布式或多机统一纳管需自行规划报告汇总方式。
• SkillHub 页面数据（截至资料抓取）：社区来源、评分 100000、下载 967 次；安装与运行环境需满足 Skill 对本地文件与运行时的访问要求。

结尾¶

AI智能体安全扫描工具把「多产品、多目录」的本机 AI 助手风险收成一份 HTML 报告和 JSON 告警，并支持周期性扫描，适合作为研发终端上的第一道可视化自检手段。

官方 Skill 地址：https://api.skillhub.cn/user_239f6ce2/agent-security-scanner-huyiwanghe
SkillHub 展示页：https://www.skillhub.cn/skills/user_239f6ce2/agent-security-scanner-huyiwanghe