前言¶

Skill 市场和 GitHub 上的 Skill 包越来越多，安装方式也越来越轻：一条命令、一个压缩包、一个目录就能加载进来。问题在于，一个 Skill 里除了 SKILL.md，通常还有 scripts/ 下的可执行脚本、references/ 下的文档、以及依赖清单。多数人不会逐行读完这些文件就点了安装。

安全审计这个 Skill 做的事，就是把「先装下来再说」换成「先审计，再安装」。

这是什么¶

一句话定位：对 Skill 包做投毒与供应链安全审计的检查工具。

• 名称：安全审计
• 坐标：@user_3b7b7372/security-new
• 版本：1.0.0
• 来源：community
• 分类：it-ops-security
• 发布者：user_3b7b7372
• 标签：requires_api_key=false
• 官方地址：https://api.skillhub.cn/user_3b7b7372/security-new

它面向的输入不是单一文件，而是一个完整的 Skill 包目录，检查范围覆盖 SKILL.md、scripts/、references/ 和依赖清单。触发时机是用户要安装、导入、下载或审查一个新 skill，来源可以是市场、URL、压缩包或本地目录。

核心功能¶

下面介绍的能力均来自官方简介，属于静态审计检查项。

1、网络外发检测：扫描脚本中是否存在把数据发往外部地址的行为，例如 curl/wget 外发、WebSocket 连接、向非预期域名上传内容。
2、私钥与凭据读取：检查是否读取 .env、id_rsa、credentials、token 等敏感文件，或把环境变量中的密钥带出。
3、混淆执行：识别 base64 解码后执行、eval、动态拼接命令、压缩或编码过的脚本片段。
4、反弹 shell：匹配常见的反弹 shell 特征，如 bash -i >& /dev/tcp、nc -e、sh -i 等。
5、提示注入：检查 SKILL.md 和 references/ 中是否夹带对模型的越权指令，例如忽略先前规则、伪造系统提示、诱导泄露上下文。
6、依赖未锁版本：对照依赖清单，检查是否缺少锁文件、是否使用 latest 或范围过宽的版本号。

输出是一份分级报告，按 P0 / P1 / P2 划分风险等级，并给出处置建议。P0 通常是明确恶意行为，P1 是需要人工确认的高危模式，P2 是低风险或可疑但不直接构成威胁的项。

安装与启用¶

截至抓取时，官方页面未在公开资料中给出标准安装命令、目录约定或配置字段，因此这里不写未经核实的命令。

该 Skill 基于通用 SKILL.md 格式，通用机制是：把 Skill 包放在本地目录，由 agent 读取其中的 SKILL.md 来获得能力说明和调用方式。具体的安装入口和参数，需要以官方地址页面的说明为准。

标签 requires_api_key=false，说明该 Skill 本身不需要外部 API Key。

典型用法¶

官方资料中没有提供可复现的输入样例和输出样例，以下说明只描述触发场景，不构成可执行示例。

触发场景是：当用户要安装、导入、下载或审查一个新 skill 时，先对这个包做安全审计。

操作顺序上，先审计，再安装。如果报告里出现 P0，直接放弃安装；如果是 P1，逐条人工确认后再决定；如果是 P2，可以记录后继续。

适用场景与注意¶

适合的人：

• 经常从市场、URL 或压缩包安装第三方 Skill 的开发者。
• 需要给团队制定 Skill 引入流程的维护者。
• 想对自己写的 Skill 包做一次上线前自检的作者。

需要注意的限制：

1、这是静态扫描，不是运行时沙箱。没有实际执行脚本，因此依赖动态行为、条件触发或运行时环境才能成立的利用链可能漏报。
2、混淆和反弹 shell 的匹配依赖特征规则，变体写法、拼接命令、非常规 shell 可能绕过检测。
3、依赖未锁版本的判断需要对照 lockfile 或依赖清单的实际内容，包结构不规范时判断可能不准确。
4、提示注入检测针对文本内容，无法判断一段看似正常的指令是否会被特定模型解释为越权。
5、报告给出的是风险提示和处置建议，不等同于安全证明。P1 和 P2 需要人工复核后再决定是否放行。

结尾¶

安全审计把第三方 Skill 引入前的检查从「人工读一遍」变成一次结构化扫描，输出带分级的处置建议，适合作为安装前的门禁步骤。它的定位是降低引入风险，而不是替代运行时隔离和人工复核。

官方地址：https://api.skillhub.cn/user_3b7b7372/security-new