AI Agent 的 Skills 会不会藏恶意代码？还真会，而且风险远不止传统意义上的「病毒文件」那么简单。有的 Skill 会用自然语言诱导代理去读取密钥、把结果发到外部地址，还有的可能夹带脚本、危险依赖，或是索要和自身功能八竿子打不着的系统权限。SkillSpector 就是干这个的——在你运行 Skill 之前，把这些风险信号连同对应的证据位置，明明白白摆到审查者面前。

恶意意图通常从哪里露头？

• 用指令诱导代理绕开上层规则，偷偷隐藏真实操作；
• 内置的脚本偷偷读取环境变量、SSH 配置或是云凭据，再把数据往外传；
• 表面看着是正常的工具声明，实际却索要删除文件、持久化运行或是执行任意命令的权限；
• 依赖的包命中 OSV.dev 收录的已知漏洞，或是会在运行时偷偷下载来源不明的内容。

扫描器本身是不会运行目标 Skill 的。静态检测阶段全程都在本地检查文件；要是你开了 LLM 语义分析，文件内容才会发给你自己配置的模型服务商。如果是没公开的技能，可以先跑这两条命令：

skillspector scan ./suspect-skill/ --no-llm
skillspector scan ./suspect-skill/ --format sarif --output audit/result.sarif

第二条命令适合把结果接入代码审查流程。查依赖漏洞的时候，只会把包名和版本发给 OSV.dev，不会上传技能文件的正文；要是网络不通，就会退回到用离线数据查询，这时候供应链风险的判断准确度会打些折扣。

扫描报告出了红项，该怎么处理？

1. 先暂停安装，把扫描目标的提交哈希记好；
2. 对着文件和行号，逐一核对凭据访问、数据外传、危险 API、代码混淆、提示注入这些问题；
3. 能明确修复的异常先改完，再重新扫描整个目录；
4. 解释不清的高风险项，直接按 DO_NOT_INSTALL 处理，别拿「作者说没问题」当证据搪塞。

报告没报错，就能直接装吗？

那可不行。图片里藏的文字、加密或二进制内容、非英文的恶意指令，还有安装后的运行时行为，都有可能躲过现有检查。SAFE 这个结果更准确的理解是「按当前规则，没找到足够有力的阻断证据」。给大家一个稳妥的判断标准：只要占了下面任意一条——来源不明、权限超出实际用途、报告有说不通的地方、内容改了没重新扫描——就先别装。就算是扫过没问题的技能，也得配合签名验证、最小权限原则和隔离试运行来用。