Skill 安全审计扫描器：装第三方 Skill 之前先做一次安全体检

Skill 安全审计扫描器（@user_1a470ba8/skill-security-checker，v3.5.5，社区来源，分类 it-ops-security，不需要 API 密钥）面向 Skill 安装前的准入审查场景。它把「装之前帮我查查」产品化：快扫模式约 30 秒输出三档裁定（干净 / 可疑 / 恶意）、Top3 风险项和一句话理由。全量模式覆盖轻量 SAST 污点追踪（Python AST、JS 词法近似，走 source→sink 证据链降误报）、YAML 规则包热插拔的规则引擎、带 schema 校验与签名验证的社区规则、提示注入 ML 语义检测（ONNX，不可用时正则降级）、系统级行为捕获（Linux eBPF / Windows ETW）、动态沙箱执行扫描、供应链风险分析（OSV.dev 离线数据包，零密钥，锁文件版本区间级匹配）、恶意 Skill 指纹库、质量结构权限合并的健康度与合规检查、全局排除配置；输出支持 JSON / HTML / SARIF，可接 CI/CD 做门禁。文章同时说明适用场景与限制：发布者是社区账号而非官方，安装数为 0，⚠️ 可疑档仍需人工复核，eBPF / ETW 与沙箱等检测项对运行环境有要求。