Agent Skills 安全清单

Skill 不只是一段提示词

很多人以为 Skill 就是一段写给 AI 的说明。其实它还可能带着脚本、会装依赖、会执行命令，或者连到外部服务。所以要检查的不只是 SKILL.md，还有它调用的脚本、命令和服务。

自动扫描能发现一些常见的危险写法，但没报警不等于没问题。装不装，要结合来源、代码、权限和实际试用一起判断。

装之前的六步检查

1. 看它从哪来、是哪个版本

从作者的官方仓库或可信的入口下载。确认仓库是谁的、最近改了什么、你装的是哪个版本。

别只看下载量、Star 数，或者别人随口一句推荐。短链接、镜像站、一键安装脚本，都要追到最终来源看一眼。

2. 读说明，找到它真正执行的东西

先读 Skill 的说明，再找它调用的脚本、包管理器命令和配置文件。重点看三件事：

• 安装时有没有偷偷做别的事；
• 会不会从别的地址下载程序再运行；
• 会不会自动改掉 Agent 的长期指令。

3. 弄清它能碰哪些文件、跑哪些命令

它要访问哪个文件夹？真的需要整个用户目录、浏览器配置或密码文件吗？会不会删除、覆盖或上传东西？

先在一个专门的测试文件夹里、用最小的权限试。别为了省事把 AI 工具自带的审批和隔离关掉。

4. 看它会不会联网、发什么出去

列出它连哪些地址、发送什么内容。“下载公开资料”和“把你本地的文件传出去”是两回事。

密钥、内部文档、日志、个人信息，没经过允许都不该被发到外部。测试时也别把真实密钥放进去。

5. 找个出了事能恢复的地方试

用不含敏感信息的测试文件，把可能被改的配置先备份。试的时候观察：它实际改了哪些文件、连了哪些地址、跑了哪些命令。

如果它突然要更多权限，或者实际行为和说明对不上，就停下来查清楚。别为了让演示跑下去就点“忽略警告”。

6. 想好以后怎么更新、怎么卸载

你这次检查的只是当前版本。以后每次更新，都看看改了什么，尤其是新脚本、新依赖、新的联网地址和权限变化。

提前搞清楚怎么停用、怎么卸载、卸完会留下哪些文件。真出了问题，先把相关证据留好，再根据影响大小处理。

遇到这些情况，先别装

• 要你把真实密码、浏览器登录状态或整个配置文件夹交给一个不认识的服务。
• 要下载并运行一个你确认不了来源的程序或脚本。
• 要求隐藏操作、绕过审批，或者说“不用告诉用户就能改权限”。
• 说自己只读，实际却在写文件、删文件，或者改开机启动项。
• 安装或更新时，冒出了之前说明里没提过的第三方服务。

遇到这些情况，把具体路径、版本、在哪一步出现、造成了什么影响都记下来，再进一步查原因。光凭这些现象，还不能直接认定项目是恶意的。

用工具帮你查

Agent Skills Guard 能帮你找 Skill、扫描、更新，还能在多个 AI 工具之间同步。扫描结果只是帮你检查，不能保证 Skill 一定安全。

如果某个工具要碰重要数据、或者要很大的权限，最好再看看源码、做受控测试。在公司环境里用，还要走公司已有的安全审批和数据管理流程。

下面的勾选框只是帮你记住自己检查到哪了。它不会扫描你的电脑、不会读取文件，也不会判断 Skill 安不安全；刷新页面就会清空。

留一份记录

记下这些：仓库地址、版本或提交号、检查日期、允许它访问的文件夹和网络范围、试用结果、还拿不准的地方。下次更新时拿出来对比，一眼就能看出变了什么。

参考：Agent Skills Guard 项目说明 · 项目最初的使用动机。这份清单是通用建议，不是安全认证，也不是完整的安全审计。

安装 Skill 前常见的三个问题

Skill 扫描通过就可以直接安装吗？

不能只凭扫描通过就安装。扫描结果针对被检查的版本和规则；还要确认来源、脚本、文件权限、联网地址，并用不含敏感信息的数据试一次。保留版本或提交号，更新后重新检查。

Skill 和普通提示词有什么区别？

Skill 可以包含说明、脚本和其他资源。检查普通提示词主要看文字要求；检查 Skill 还要追踪它引用的文件、下载的依赖和可能执行的命令。具体能力由承载它的 Agent 和授予的权限决定。

Agent Skills Guard 能替代人工检查吗？

不能。Agent Skills Guard 可以辅助扫描和管理 Skill，但不能证明某个版本在所有环境都安全。需要先了解它的使用方法与限制，再结合源码、权限和受控测试判断。