前言¶

从公开来源装一个 Skill，等于把一段指令、可能还有可执行逻辑放进自己的上下文。常见的做法是读一遍 SKILL.md、扫一眼简介，然后决定。这种做法的问题不是不认真，而是不可重复——同一个 Skill 今天看没问题，下次装一批新 Skill 时没人再逐条看。

下面介绍 @user_ee0c0d25/skill-analysis，社区来源的「安全审计专家」，版本 3.3.13。它把上面这件事变成一条可执行的流程：先扫描，再给结论，扫描过程不出本机。

这是什么¶

一句话定位：对已安装 Skill 做本地安全检查的审计 Skill，覆盖安装前准入判定和安装后变动监控。

• 发布者：user_ee0c0d25
• 来源：community
• 分类：it-ops-security
• 版本：3.3.13
• 需要 API Key：否（requires_api_key=false）

它跑在你本机，不发起网络请求，不依赖第三方库。扫描对象是你自己机器上的 Skill 目录，不是远端服务。这一点和「把可疑代码发到在线扫描器」的做法相反，对内网环境或有合规要求的团队更实际。

核心能力¶

准入判定¶

一次扫描给出三档结论：BLOCK、NEED_REVIEW、PASS。同时输出 0-100 的风险评分、A-F 等级和发布建议。

这里的区别在于输出的不是问题列表，而是能不能装的决定。BLOCK 直接拒绝，NEED_REVIEW 需要人工看命中项，PASS 可以放行。

按需守护¶

两种触发方式：

• 显式命令：一条命令扫描全部已装 Skill。
• watchdog：对已装 Skill 做变动监控，目录里有改动会被发现。

新装的 Skill 走静默体检。它不常驻进程，也不注册任何钩子，只在需要时运行。

深度对抗检测¶

检测手段覆盖：

• 多层混淆解码
• 污点数据流
• Unicode 走私指令解码
• 反序列化 RCE
• 条件触发注入
• 沙箱动态取证

其中「检测语境判定」值得单独说。它会区分「真实载荷」和「检测项清单 / 特征库内容」。安全类 Skill 的 SKILL.md 里往往大量出现 payload 样例、检测规则字符串、特征片段，如果只做特征匹配，这类 Skill 会被自己的内容触发。这个机制针对的就是这类误报。

情报驱动规则¶

规则面向具体威胁，不面向语法错误：

• 勒索病毒
• 提示注入
• MCP 工具投毒
• 供应链投毒
• 金融欺诈诱导
• 身份自改写持久化
• Agent 记忆投毒（ASI06）

最后一项指向的是攻击者改写 Agent 自身身份、长期驻留的手法，属于提示注入的延长线。

工程化¶

• 跨平台批量扫描
• CI 门禁
• SARIF / SBOM / JSON 导出

导出格式对齐常见工具链，CI 门禁意味着可以把「Skill 必须通过扫描」写成流水线的一道关卡。

可自证可信¶

• 无自动更新
• 发布者签名锚 + SHA-256
• 一键签名核验
• 独立复验

签名锚和 SHA-256 用来确认你手上的文件和发布者发出的一致，独立复验让结论不依赖单一工具的自述。没有自动更新是刻意设计：更新节奏由使用方掌握，而不是由 Skill 自己决定。

安装与启用¶

已抓取资料里没有给出安装命令和启用方式，只有坐标与页面信息。这里不编造命令。

坐标：@user_ee0c0d25/skill-analysis
版本：3.3.13
来源：community
分类：it-ops-security
需要 API Key：否
官方页面：https://api.skillhub.cn/user_ee0c0d25/skill-analysis
SkillHub 页面：https://www.skillhub.cn/skills/user_ee0c0d25/skill-analysis

如果你的环境通过 SkillHub 分发 Skill，按坐标拉取即可；如果通过其他渠道引入，请以官方页面当前的说明为准，本文未能抓取到对应内容。

典型用法¶

资料只到能力描述层级，没有提供可复现的命令示例。下面按官方简介描述的工作流整理，具体命令需查官方页面。

1、对全部已装 Skill 跑一次显式扫描。这一步产出三档结论、风险分和等级。
2、按结论处理。BLOCK 直接不装或移除；NEED_REVIEW 逐条看命中位置；PASS 放行。
3、需要留档或接入流水线时，导出 SARIF / SBOM / JSON，或把它作为 CI 门禁的一环。
4、装完新 Skill 后跑一次体检；长期维护的目录开启 watchdog 做变动监控。

适用场景与注意¶

适合这几类情况：

• 从公开来源批量引入 Skill，需要一个统一入口做检查。
• 引入流程要过 CI 门禁，结论需要以机器可读格式输出。
• 环境对「Skill 里能否有网络行为或可执行逻辑」有明确要求，需要本地完成检查。
• 关注 MCP 工具投毒、供应链投毒、Agent 记忆投毒这类针对 Agent 自身而不是针对应用的攻击面。

需要注意的地方：

• 它是静态分析加沙箱动态取证，不是完整的运行时沙箱，也不能替代对依赖和构建链的审计。
• 检测语境判定能压低误报，但不等于零误报，NEED_REVIEW 仍然要人看。
• 规则库的覆盖面取决于发布者维护。它没有自动更新，情报类规则要随威胁演进更新，节奏需要自己掌握。
• 官方页当前显示评分 100000、下载 1617、安装 0。安装量为 0，说明它在公开渠道还没有实际部署记录，结论需要自己验证后再依赖。

结尾¶

这个 Skill 的价值不在于规则多全，而在于把「装 Skill 前过一遍安检」变成一条确定会执行的流程，同时把扫描限制在本地。对于已经在批量引入 Skill 的团队，它是成本较低的一道前置关卡。

官方地址：https://api.skillhub.cn/user_ee0c0d25/skill-analysis