NVIDIA/SkillSpector

如果你会安装第三方 Agent skill，或者维护一个 skill 目录，这个工具值得一试；但请把它当作审核流程中的一道检查，而不是安全保证。扫描器来自 NVIDIA，其研究数据本身也说明了为什么需要这道检查。

解决什么问题

给 Claude Code、Codex CLI、Gemini CLI 等 Agent 用的 skill，常常直接从 URL、压缩包或陌生人的仓库装进来，运行时拥有 Agent 已有的权限。安装前，你想快速知道它是否夹带提示注入、试图外传数据，或引入有漏洞的依赖。过去只能人工翻阅 SKILL.md，再祈祷自己注意到脚本里那句可疑的指令。SkillSpector 改变的就是这一步：给它一个目录、单个文件、zip、Git 地址或仓库，先拿到风险分数和具体发现，再决定是否加入自己的环境。

有什么不同

它的设计是两阶段流水线：先跑快速静态分析，再可选地跑一轮 LLM 语义评估。静态侧覆盖 17 类、71 个模式，包括危险代码的 AST 检查、污点追踪、YARA 规则、MCP 最小权限与工具投毒规则，以及查询 OSV.dev 获取实时 CVE 数据、离线时回退到内置列表。输出支持终端、JSON、Markdown 和 SARIF，发现可以直接进入代码扫描界面，而不只是躺在聊天记录里。基线/抑制机制可以按 glob 规则或指纹接受已知问题，跟踪大量 skill 时，重扫只显示新增发现。

关键取舍在于它只做静态分析，不执行代码，所以只在运行时才暴露的行为看不到。README 也说明非英文内容、图片里的文字可能漏检，编译或加密后的代码无法分析。可选的 LLM 评估能补充判断，但不是独立的动态检查。Hacker News 上有人评论说，用 LLM 来审 LLM 面对的提示词，防御力度有限，因为能骗过执行模型的手法很可能也骗过审查模型 TZubiri 评论，2026-06-13。另一位把它比作杀毒软件：有比没有好，但很难说好多少 jacobgold 评论，2026-06-13。还有人认为它是供应链防护整体计划里合理的一层 DonsDiscountGas 评论，2026-06-13。这些是评论者的看法，不是对工具的实测结论。

谁值得试

适合：已经在从公开来源安装 skill 的开发者或平台团队，尤其是需要 SARIF 输出或基线抑制来做持续分流的场景。如果你维护 skill 目录、需要在发布前设卡，它也有相关性；NVIDIA 把它描述为自己目录“扫描、评估、签名”流水线的一环。

不适合：期待运行时沙箱，或想要“证明某个 skill 无害”的人。如果 skill 只来自受信任的内部仓库、作者经过审核，这一步能告诉你的可能不多。团队若无法升级到 Python 3.12，这里没有受支持的路径；用 uv 工具安装时，MCP 服务器模式还需要额外安装 MCP extra。工作流和报告解读可以先看托管扫描指南 扫描指南。

使用条件与边界

要求 Python 3.12+。安装方式有两种：用 uv 从 Git 地址安装工具，或检出源码、建虚拟环境后用项目 Makefile 安装；计划运行 MCP 服务器的话，要在安装时加上 MCP extra。README 提醒项目会下载并安装额外的第三方开源软件，所以依赖审查也是准备工作的一部分。

比初次安装更重要的是持续维护：skill 更新后要重扫，基线要有意识地维护，否则被抑制的发现会变成盲区。离线时 SC4 只能回退到较小的静态列表，漏洞数据会弱一些。包、解析器、嵌套制品和发现数量都有资源上限，文档单独说明 分析资源边界；特别大或结构奇怪的包可能撞上限，拿不到完整报告。扩展开发的说明在仓库里 开发指南。

HotRepo 点评

HotRepo 只有一条日榜记录：2026-10-26 当天 21,678 星、+203（日榜）。这只是一个单日快照，无法判断热度能否持续。项目创建于 2026-03-21，还比较年轻，这与稀疏的记录是一致的。

采纳判断：如果你本来就把 skill 当作不可信代码，值得把它作为安装前的静态检查试用；但不要把干净报告当成可以随意运行的许可。依赖它之前，先阅读扫描指南里关于如何解读报告的部分，想清楚在你的流程里什么样的阈值（如果有）应该阻止安装 项目说明。