前言¶
在引入第三方 Skill 时，开发者往往只关注功能，忽略潜在风险。权限过大、代码可疑、存在后门，这些隐患一旦落地到生产环境，修复成本很高。skill-vetter-1.0.0 旨在在安装前拦截这些风险，为 AI Agent 生态提供一个安全检查入口。
是什么¶
skill-vetter-1.0.0 是一个 Security-first skill vetting 工具，由社区用户 user_e9b89846 维护。它针对 ClawdHub、GitHub 等来源的 Skill 进行安全审查，检查清单包括：是否存在危险代码模式、权限范围是否过宽、是否存在可疑行为特征。在安装任何外部 Skill 之前使用，可以降低供应链攻击和权限滥用风险。
核心功能¶
skill-vetter-1.0.0 的核心能力集中在三个维度：
- 红旗检查（Red Flags）：识别代码中常见的危险模式，如硬编码凭证、可疑的网络调用、动态代码执行等。
- 权限范围审查：检查 Skill 请求的权限是否超出必要范围，避免过度授权。
- 模式匹配：基于已知的攻击特征和可疑行为模式进行比对，标记高风险项目。
安装与启用¶
skill-vetter-1.0.0 属于社区 Skill，安装方式需通过 SkillHub 进行。在支持 SkillHub 的客户端中，可以通过以下步骤完成安装：
- 打开客户端的 Skill 管理界面。
- 搜索 skill-vetter 或其坐标 @user_e9b89846/skill-vetter-test。
- 点击安装，确认版本为 1.0.1。
安装完成后，该 Skill 将作为前置检查工具，在安装其他 Skill 时自动或手动触发检查。
典型用法¶
使用 skill-vetter-1.0.0 的典型流程是在安装目标 Skill 之前，先对其运行安全检查：
- 在 SkillHub 或相关客户端中，找到待安装的 Skill（例如从 ClawdHub 或 GitHub 引入）。
- 触发 skill-vetter 检查，工具会返回检查结果，包括：
- 风险等级（如高、中、低）
- 具体违规项列表
- 建议的处理方式 - 根据检查结果决定是否继续安装，或对源码进行审查后再安装。
适用场景与注意¶
skill-vetter-1.0.0 适合需要严格管控外部 Skill 引入的团队或个人。在使用时需要注意：
- 该工具提供的是静态扫描能力，无法覆盖运行时行为，仍需结合代码审查和依赖管理。
- 社区 Skill 的维护状态可能不稳定，建议定期更新 skill-vetter 本身以获取最新的特征库。
- 对于完全信任的内部或私有仓库，可以跳过检查以减少流程开销。
总结¶
skill-vetter-1.0.0 为 AI Agent 的 Skill 生态提供了一个安全检查入口，帮助开发者在安装前识别潜在风险。通过红旗检查、权限范围审查和模式匹配，它可以在降低供应链攻击和权限滥用风险方面发挥作用。
官方地址：https://api.skillhub.cn/user_e9b89846/skill-vetter-test
