SkillSpector 是什麼、怎麼安裝使用：NVIDIA 開源的 Agent Skill 安全掃描器（裝第三方技能前先掃一遍）

本文根據 NVIDIA/SkillSpector 倉庫 README、NVIDIA 官方文檔與 Claude Code 官方文檔整理，資料核對於 2026-10-10。檢測規則數量和支持的模型服務以倉庫 README 為準。

是什麼

SkillSpector 不是一個技能，而是給技能做「體檢」的工具。Skill 可以帶腳本、可以指揮智能體讀寫文件和執行命令，而用戶安裝第三方技能時往往看都不看。SkillSpector 要回答的就是一個問題：這個技能裝上去安全嗎？

README 引用了一項研究的數據作為背景：在被分析的三萬多個技能裏，約四分之一存在安全漏洞，約百分之五表現出疑似惡意的意圖，帶可執行腳本的技能出問題的概率明顯更高。SkillSpector 是 NVIDIA「Verified Skills」流程的一環——NVIDIA 自己發佈技能之前，會用它掃描、評估，再簽名發佈。

它是一個 Python 命令行程序（要求 Python 3.12 及以上），也提供 Docker 鏡像構建方式。截至 2026-10-10，GitHub 顯示該倉庫約 2.0 萬 Star、1734 Fork，最近一次推送在 2026-10-10。

包含哪些 Skill

這裏沒有技能清單，對應的內容是「它能檢查什麼」。README 稱共有 71 條漏洞模式，分 17 類，主要包括：

• 提示注入：技能文本里藏着改變智能體行為的指令；
• 誘導模型無視安全限制的寫法；
• 數據外傳：把文件、密鑰、對話內容發往外部地址；
• 權限提升與過度自主：要求超出任務需要的權限，或未經確認就執行高影響操作；
• 供應鏈：依賴包的已知漏洞（實時查詢 OSV.dev 的漏洞數據）、可疑的下載與安裝行為；
• 系統提示泄露、記憶投毒、工具濫用、觸發條件濫用；
• 危險代碼：對 Python 腳本做語法樹分析和污點追蹤，另有 YARA 特徵匹配；
• MCP 相關：MCP 配置是否遵循最小權限、工具描述是否被投毒。

分析分兩個階段：先是快速的靜態分析；再是可選的大模型語義分析，用來判斷靜態規則難以定性的內容。結果給出 0–100 的風險分和建議：0–20 為低風險（SAFE），21–50 需謹慎（CAUTION），51 分以上建議不要安裝。報告可以輸出為終端文本、JSON、Markdown 或 SARIF，方便接入 CI。

怎麼安裝

用 uv 快速安裝（僅命令行）：

bash
uv tool install git+https://github.com/NVIDIA/skillspector.git
# Update later: uv tool update skillspector

需要 MCP 伺服器功能時，安裝帶 MCP 擴展的版本：

bash
uv tool install 'skillspector[mcp] @ git+https://github.com/NVIDIA/skillspector.git'

從源碼安裝：git clone https://github.com/NVIDIA/skillspector.git 後在虛擬環境裏安裝。不想裝 Python 的話，用倉庫自帶的 Dockerfile 構建鏡像（make docker-build）。

README 的提示：安裝過程會下載其他第三方開源組件，使用前留意它們各自的許可條款。

怎麼用

基本用法是 scan 加目標，目標可以是本地目錄、單個文件、Git 倉庫地址或壓縮包：

bash
# Scan a local skill directory
skillspector scan ./my-skill/

# Scan a Git repository
skillspector scan https://github.com/user/my-skill

# Scan a zip file
skillspector scan ./my-skill.zip

常用選項：

• skillspector scan ./my-skill/ --no-llm：只做靜態分析，速度快，文件內容不出本機；
• skillspector scan ./my-skill/ --format json --output report.json：輸出機器可讀的報告；
• skillspector baseline ./my-skill/ -o .skillspector-baseline.yaml：把當前已確認可接受的結果記為基線，之後帶 --baseline 掃描只報告新增問題。

大模型分析通過環境變量 SKILLSPECTOR_PROVIDER 選擇服務，README 支持 OpenAI、Anthropic、AWS Bedrock、Gemini、Azure OpenAI、本地 Ollama、任意 OpenAI 兼容接口，以及本機已登入的 claude 命令行等。

進階用法是運行 skillspector mcp，讓 Claude Code、Codex CLI、Gemini CLI 把掃描當作一個工具來調用，在安裝技能或 MCP 之前先過一遍。命令的退出碼也可用於自動化：風險分不超過 50 返回 0，超過返回 1，出錯返回 2。

適合誰 / 不適合誰

適合：

• 經常從 GitHub 或技能目錄站安裝第三方技能的個人用戶——裝之前花一分鐘掃一遍；
• 在團隊內部分發技能、需要准入檢查的平台和安全工程師；
• 自己寫技能並打算公開發布的作者，發佈前先自查。

不適合：

• 期待「掃過就絕對安全」的人——它是多一層防護，不是保證；
• 不熟悉命令行的用戶；
• 主要審查中文技能的場景要打折扣——README 的侷限性一節寫明，對非英文內容可能漏檢。

注意事項

• 許可證：倉庫 LICENSE 為 Apache-2.0。
• 維護狀態：更新活躍，最近一次推送 2026-10-10。
• 它不做什麼：README 的信任模型一節說得很清楚——它從不執行被掃描的技能，只做靜態分析加可選的模型評估；它也不是沙箱，你執意安裝一個高風險技能，它攔不住也隔離不了。看不了圖片裏的文字、加密或編譯後的代碼，也看不到運行時行為。
• 數據會去哪裏：預設開啟的大模型分析會把被掃描文件的內容發送給你配置的模型服務，掃描私有技能時用 --no-llm 可以讓內容留在本地；供應鏈檢查會把技能聲明的依賴包名和版本發給 OSV.dev 查詢漏洞（不發送文件內容），即使加了 --no-llm 也會進行，離線時改用內置的小型清單。
• 安全提醒：掃描器本身也是要在本機安裝運行的第三方軟件，建議按 README 用 uv tool 或虛擬環境隔離安裝；若以 HTTP 方式運行 MCP 服務，保持綁定在本機迴環地址。掃描結果為低風險，也不能代替自己通讀 SKILL.md 和腳本——優先選擇官方或知名來源的技能這條原則不變。
• 兼容性：需要 Python 3.12 及以上；README 提到 MCP 的 stdio 方式目前存在一個已知的初始化卡住問題。
• 誤報和漏報都會有：高分不一定是惡意，可能只是寫法粗糙；可以用基線功能管理已確認的誤報。