想给 Claude Code 或者 Codex 装个陌生 Skill 的时候，大伙最纠结的多半不是「会不会用」，而是它会不会在说明文字里夹带隐藏指令，或是让脚本读取环境变量、修改系统文件。SkillSpector 就是专门做安装前检查的工具：它是 NVIDIA 开源的，支持读取技能目录、单个 SKILL.md、压缩包、网址或 Git 仓库，能给出风险分数和处理建议，但不会替你执行被扫描的技能。

它检查的不是"文档写得好不好"

Agent Skill 看着就像一份操作说明书，实则可能同时包含提示词、工具调用约定、依赖声明和可执行脚本。SkillSpector 的静态扫描阶段会匹配危险 API、外部传输、凭据访问、持久化、混淆内容、提示注入这类风险信号，还会调用 OSV.dev 核对已声明依赖的公开漏洞。它还会比对「技能说自己要干啥」和「实际要的权限」对不对得上：比如一个只用来格式化文本的技能，居然要主目录的写入权限，这可得多长个心眼了。

目前项目 README 里标了 68 个检测模式、17 个风险类别；但 NVIDIA 官方文档页显示的是 64 个模式、16 个类别。这是两边文档更新时间不一样导致的口径差异，要判断它的实际能力，得看仓库里最新的说明和变更记录，别硬把两个数字凑一块下结论。

两层扫描各自盯什么

第一层是确定性的静态检查，速度快，也适合放在 CI 里反复跑；第二层是可选的 LLM 语义分析，专门用来识别光靠关键词很难发现的风险意图——比如单看每一步都正常，凑到一块却是在诱导代理越权的操作。要是开了语义分析，文件内容会发到你配置好的模型服务；处理私有技能的时候，可以加上 --no-llm 参数，只做本地静态扫描就行。对了，依赖的名称和版本还是可能会发到 OSV.dev 做漏洞查询，这和上传文件正文可不是一回事哈。

扫描报告会给出 0 到 100 的风险分数，还会归成 SAFE、CAUTION 或 DO_NOT_INSTALL 三个等级。它还支持输出终端文本、JSON、Markdown 和 SARIF 格式，不管是人工看还是接入代码审查流程都挺方便。不过得提醒一句：显示「SAFE」只代表你已启用的规则没查到足够强的危险信号，可不等于源码被证明绝对安全哦。

举个很常见的例子：一个「整理会议纪要」的技能需要读取指定文本文件，这和它的用途是对得上的；但如果它还要求遍历 SSH 目录、收集所有环境变量、再访问陌生域名，权限就明显超出任务范围了。SkillSpector 会把散落在说明、配置和脚本里的线索都汇总到同一份报告里，最终还是得由审查的人结合业务用途，判断这是合理依赖、误报，还是应该阻断的行为。

什么时候别把绿色报告当护身符

SkillSpector 读不了图片里的文字，也没法完整判断加密文件、二进制程序的风险，还有安装后的运行时行为；要是指令不是英文的，检测效果还可能打折扣。最稳妥的用法是把它当成安装前的一道门槛：先核对来源和维护者靠不靠谱，再扫描整个目录，高风险项得一条条看证据，最后再放到受限环境里试装。扫描解决的是「现在查到了什么」，签名验证解决的是「拿到的是不是原版」，这俩都替代不了最小权限和隔离运行的作用。