⚡

技能扫描器Skill skill-scanner

技能扫描器用于扫描代理技能的安全性，检测提示注入、恶意代码、过度权限、秘密暴露和供应链风险，确保技能安装安全可靠。关键词：安全扫描、技能审计、代理技能安全、漏洞检测、网络安全扫描、自动化安全工具。

安全审计 0 次安装 0 次浏览 更新于 3/17/2026

名称: 技能扫描器 描述: 扫描代理技能以检测安全问题。在要求“扫描技能”、“审计技能”、“审查技能安全”、“检查注入”、“验证SKILL.md”或评估代理技能是否安全安装时使用。检测提示注入、恶意脚本、过度权限、秘密暴露和供应链风险。 允许工具: 读取, 搜索, 全局, Bash

技能安全扫描器

在采用前扫描代理技能的安全问题。检测提示注入、恶意代码、过度权限、秘密暴露和供应链风险。

重要: 从仓库根目录使用完整路径 ${CLAUDE_SKILL_ROOT} 运行所有脚本。

捆绑脚本

scripts/scan_skill.py

静态分析扫描器，检测确定性模式。输出结构化JSON。

uv run ${CLAUDE_SKILL_ROOT}/scripts/scan_skill.py <技能目录>

返回包含发现、URL、结构信息和严重性计数的JSON。脚本机械捕获模式——您的任务是评估意图并过滤误报。

工作流程

阶段1: 输入与发现

确定扫描目标:

  • 如果用户提供技能目录路径，直接使用
  • 如果用户命名技能，在 plugins/*/skills/<名称>/ 或 .claude/skills/<名称>/ 下查找
  • 如果用户说“扫描所有技能”，发现所有 */SKILL.md 文件并扫描每个

验证目标包含 SKILL.md 文件。列出技能结构:

ls -la <技能目录>/
ls <技能目录>/references/ 2>/dev/null
ls <技能目录>/scripts/ 2>/dev/null

阶段2: 自动化静态扫描

运行捆绑扫描器:

uv run ${CLAUDE_SKILL_ROOT}/scripts/scan_skill.py <技能目录>

解析JSON输出。脚本生成带严重性级别、URL分析和结构信息的发现。使用这些作为深入分析的线索。

备用方案: 如果脚本失败，使用参考文件的Grep模式进行手动分析。

阶段3: 前置验证

读取SKILL.md并检查:

  • 必填字段: 名称 和 描述 必须存在
  • 名称一致性: 名称 字段应与目录名称匹配
  • 工具评估: 审查 允许工具 —— Bash是否合理？工具是否无限制（*）？
  • 模型覆盖: 是否强制特定模型？为什么？
  • 描述质量: 描述是否准确表示技能功能？

阶段4: 提示注入分析

加载 ${CLAUDE_SKILL_ROOT}/references/prompt-injection-patterns.md 以获取上下文。

审查“提示注入”类别的扫描发现。对每个发现:

  1. 读取文件中的周围上下文
  2. 确定模式是执行注入（恶意）还是讨论/检测注入（合法）
  3. 关于安全、测试或教育的技能通常引用注入模式——这是预期的

关键区分: 安全审查技能在参考中列出注入模式是记录威胁，而非攻击。仅标记可能对运行技能的代理执行的模式。

阶段5: 行为分析

此阶段仅限代理——无模式匹配。读取完整的SKILL.md指令并评估:

描述与指令对齐:

  • 描述是否匹配指令实际告诉代理的操作？
  • 描述为“代码格式化器”但指令让代理读取 ~/.ssh 的技能是对齐错误

配置/内存污染:

  • 修改 CLAUDE.md、MEMORY.md、settings.json、.mcp.json 或钩子配置的指令
  • 将自身添加到允许列表或自动批准权限的指令
  • 写入 ~/.claude/ 或任何代理配置目录

范围蔓延:

  • 超出技能声明目的的指令
  • 不必要的数据收集（读取与技能功能无关的文件）
  • 安装未在描述中提及的其他技能、插件或依赖的指令

信息收集:

  • 读取超出需要的环境变量
  • 列出技能范围外的目录内容
  • 不必要地访问git历史、凭据或用户数据

阶段6: 脚本分析

如果技能有 scripts/ 目录:

  1. 加载 ${CLAUDE_SKILL_ROOT}/references/dangerous-code-patterns.md 以获取上下文
  2. 完整读取每个脚本文件（不跳过任何）
  3. 检查“恶意代码”类别的扫描发现
  4. 对每个发现，评估:
    • 数据外泄: 脚本是否发送数据到外部URL？什么数据？
    • 反向shell: 重定向I/O的套接字连接
    • 凭据盗窃: 读取SSH密钥、.env文件、环境中的令牌
    • 危险执行: 带动态输入的eval/exec、带插值的shell=True
    • 配置修改: 写入代理设置、shell配置、git钩子
  5. 检查PEP 723 依赖 —— 它们是否是合法的、知名包？
  6. 验证脚本行为是否匹配SKILL.md中的描述

合法模式: gh CLI调用、git 命令、读取项目文件、JSON输出到stdout是技能脚本的正常行为。

阶段7: 供应链评估

审查扫描输出中的URL以及脚本中找到的任何额外URL:

  • 可信域: GitHub、PyPI、官方文档——正常
  • 不可信域: 未知域、个人站点、URL短链接——标记以供审查
  • 远程指令加载: 任何获取内容以执行或解释为指令的URL是高风险
  • 依赖下载: 在运行时下载并执行二进制或代码的脚本
  • 不可验证源: 引用不在标准注册表上的包或工具

阶段8: 权限分析

加载 ${CLAUDE_SKILL_ROOT}/references/permission-analysis.md 以获取工具风险矩阵。

评估:

  • 最小权限: 所有授予的工具是否实际用于技能指令？
  • 工具合理性: 技能主体是否引用需要每个工具的操作？
  • 风险级别: 使用参考中的分层系统评估整体权限概况

示例评估:

  • 读取 搜索 全局 —— 低风险，只读分析技能
  • 读取 搜索 全局 Bash —— 中风险，需要Bash合理性（例如，运行捆绑脚本）
  • 读取 搜索 全局 Bash 写入 编辑 网络获取 任务 —— 高风险，近乎完全访问

置信级别

级别 标准 行动
高 模式确认 + 恶意意图明显 报告带严重性
中 可疑模式，意图不明 标记为“需要验证”
低 理论性，仅最佳实践 不报告

误报意识至关重要。 最大风险是将合法安全技能标记为恶意，因为它们引用攻击模式。在报告前始终评估意图。

输出格式

## 技能安全扫描: [技能名称]

### 摘要
- **发现**: X (Y 关键, Z 高, ...)
- **风险级别**: 关键 / 高 / 中 / 低 / 清洁
- **技能结构**: 仅SKILL.md / +参考 / +脚本 / 完整

### 发现

#### [SKILL-SEC-001] [发现类型] (严重性)
- **位置**: `SKILL.md:42` 或 `scripts/tool.py:15`
- **置信度**: 高
- **类别**: 提示注入 / 恶意代码 / 过度权限 / 秘密暴露 / 供应链 / 验证
- **问题**: [发现内容]
- **证据**: [代码片段]
- **风险**: [可能发生的情况]
- **修复**: [如何修复]

### 需要验证
[需要人工审查的中置信度项]

### 评估
[安全安装 / 谨慎安装 / 不安装]
[评估的简要理由]

风险级别确定:

  • 关键: 任何高置信度关键发现（提示注入、凭据盗窃、数据外泄）
  • 高: 高置信度高严重性发现或多个中严重性发现
  • 中: 中置信度发现或次要权限担忧
  • 低: 仅最佳实践建议
  • 清洁: 全面分析后无发现

参考文件

文件 目的
references/prompt-injection-patterns.md 注入模式、越狱、混淆技术、误报指南
references/dangerous-code-patterns.md 脚本安全模式: 外泄、shell、凭据盗窃、eval/exec
references/permission-analysis.md 工具风险分层、最小权限方法论、常见技能权限概况