前言¶

Skill 市場和 GitHub 上的 Skill 包越來越多，安裝方式也越來越輕：一條命令、一個壓縮包、一個目錄就能加載進來。問題在於，一個 Skill 裏除了 SKILL.md，通常還有 scripts/ 下的可執行腳本、references/ 下的文檔、以及依賴清單。多數人不會逐行讀完這些文件就點了安裝。

安全審計這個 Skill 做的事，就是把「先裝下來再說」換成「先審計，再安裝」。

這是什麼¶

一句話定位：對 Skill 包做投毒與供應鏈安全審計的檢查工具。

• 名稱：安全審計
• 座標：@user_3b7b7372/security-new
• 版本：1.0.0
• 來源：community
• 分類：it-ops-security
• 發佈者：user_3b7b7372
• 標籤：requires_api_key=false
• 官方地址：https://api.skillhub.cn/user_3b7b7372/security-new

它面向的輸入不是單一文件，而是一個完整的 Skill 包目錄，檢查範圍覆蓋 SKILL.md、scripts/、references/ 和依賴清單。觸發時機是用戶要安裝、導入、下載或審查一個新 skill，來源可以是市場、URL、壓縮包或本地目錄。

核心功能¶

下面介紹的能力均來自官方簡介，屬於靜態審計檢查項。

1、網絡外發檢測：掃描腳本中是否存在把數據發往外部地址的行爲，例如 curl/wget 外發、WebSocket 連接、向非預期域名上傳內容。
2、私鑰與憑據讀取：檢查是否讀取 .env、id_rsa、credentials、token 等敏感文件，或把環境變量中的密鑰帶出。
3、混淆執行：識別 base64 解碼後執行、eval、動態拼接命令、壓縮或編碼過的腳本片段。
4、反彈 shell：匹配常見的反彈 shell 特徵，如 bash -i >& /dev/tcp、nc -e、sh -i 等。
5、提示注入：檢查 SKILL.md 和 references/ 中是否夾帶對模型的越權指令，例如忽略先前規則、僞造系統提示、誘導泄露上下文。
6、依賴未鎖版本：對照依賴清單，檢查是否缺少鎖文件、是否使用 latest 或範圍過寬的版本號。

輸出是一份分級報告，按 P0 / P1 / P2 劃分風險等級，並給出處置建議。P0 通常是明確惡意行爲，P1 是需要人工確認的高危模式，P2 是低風險或可疑但不直接構成威脅的項。

安裝與啓用¶

截至抓取時，官方頁面未在公開資料中給出標準安裝命令、目錄約定或配置字段，因此這裏不寫未經覈實的命令。

該 Skill 基於通用 SKILL.md 格式，通用機制是：把 Skill 包放在本地目錄，由 agent 讀取其中的 SKILL.md 來獲得能力說明和調用方式。具體的安裝入口和參數，需要以官方地址頁面的說明爲準。

標籤 requires_api_key=false，說明該 Skill 本身不需要外部 API Key。

典型用法¶

官方資料中沒有提供可復現的輸入樣例和輸出樣例，以下說明只描述觸發場景，不構成可執行示例。

觸發場景是：當用戶要安裝、導入、下載或審查一個新 skill 時，先對這個包做安全審計。

操作順序上，先審計，再安裝。如果報告裏出現 P0，直接放棄安裝；如果是 P1，逐條人工確認後再決定；如果是 P2，可以記錄後繼續。

適用場景與注意¶

適合的人：

• 經常從市場、URL 或壓縮包安裝第三方 Skill 的開發者。
• 需要給團隊制定 Skill 引入流程的維護者。
• 想對自己寫的 Skill 包做一次上線前自檢的作者。

需要注意的限制：

1、這是靜態掃描，不是運行時沙箱。沒有實際執行腳本，因此依賴動態行爲、條件觸發或運行時環境才能成立的利用鏈可能漏報。
2、混淆和反彈 shell 的匹配依賴特徵規則，變體寫法、拼接命令、非常規 shell 可能繞過檢測。
3、依賴未鎖版本的判斷需要對照 lockfile 或依賴清單的實際內容，包結構不規範時判斷可能不準確。
4、提示注入檢測針對文本內容，無法判斷一段看似正常的指令是否會被特定模型解釋爲越權。
5、報告給出的是風險提示和處置建議，不等同於安全證明。P1 和 P2 需要人工複覈後再決定是否放行。

結尾¶

安全審計把第三方 Skill 引入前的檢查從「人工讀一遍」變成一次結構化掃描，輸出帶分級的處置建議，適合作爲安裝前的門禁步驟。它的定位是降低引入風險，而不是替代運行時隔離和人工複覈。

官方地址：https://api.skillhub.cn/user_3b7b7372/security-new