審計蝦3：給 AI Agent 技能裝之前做一次安全體檢
審計蝦3（@user_d93c4aed/qmi-skill-vetter，版本 1.0.1）是 SkillHub 上的社區 Skill，面向 AI Agent 的技能安全審計工具。作用是把檢查動作前置到安裝之前：從 ClawdHub、GitHub 等來源安裝任何技能之前，先掃描紅旗信號、權限範圍是否越界、是否存在靜默外聯或無差別執行這類可疑調用模式。自身不需要 API key。文章說明其定位、可覈實的四項核心能力、最小使用流程，以及本次覈對中缺失的信息：官方頁面未能抓取成功，因此不提供安裝命令與配置字段，並提醒該 Skill 爲社區來源、安裝數爲 0，審計輸出不能替代人工代碼審查與運行時權限隔離。
閱讀全文Skill 安全審查：裝 Skill 之前先過一遍檢查
Skill 的分發門檻低，一個 SKILL.md 加腳本就能被 Agent 加載，而它拿到的是文件讀寫、命令執行、網絡訪問這類實際能力。多數人裝 Skill 時看功能介紹和評分，很少打開文件看，等 Agent 按 Skill 指示跑命令、發請求時問題才暴露。下面介紹的 Skill 安全審查把這件事提前：安裝來自 ClawdHub、GitHub 或其他來源的 Skill 之前先檢查，識別風險標記、權限範圍和可疑模式。它由社區開發者 user_f12a44b7 發佈，座標 @user_f12a44b7/clawhub-skill-vetter，分類 it-ops-security，版本 1.0.1，標籤 requires_api_key=false，無需額外申請密鑰。觸發詞爲「Skill 安裝檢查」「安全審查」「skill 安全」，靠自然語言觸發。資料中未給出安裝命令、目錄約定、配置字段或可復現示例，兩個官方入口均爲前端渲染頁面，需在瀏覽器中核對。它檢查聲明與文件層面的風險，不是運行時沙箱，也不是惡意代碼掃描器，不能替代隔離執行；版本來自社區發佈，維護節奏無公開信息。
閱讀全文