AI 技能安全审查工具，提供安装前的代码审计、权限评估与风险分级，防止恶意代码入侵。
说明：
## 核心用法
**Skill Vetter** 是一套专为 AI Agent 设计的安全审查协议，用于在安装任何第三方技能前执行系统性风险评估。用户需依次完成：来源可信度核查（作者声誉、下载量、更新频率）、强制性代码审查（识别 12 类高危红旗特征）、权限范围最小化评估，最终输出四级风险分类报告。
### 显著优点
1. **主动防御设计**：将安全审查固化为安装前置流程，而非事后补救
2. **结构化审计清单**：12 项明确的红旗指标（如 base64 解码、eval() 执行、凭证访问等）大幅降低漏检概率
3. **分级响应机制**：绿/黄/红/禁四级风险对应差异化处置策略，避免一刀切
4. **信任分层体系**：官方源、高星仓库、未知来源差异化审查强度，效率与安全兼顾
5. **标准化报告输出**：统一格式便于审计追溯与团队协作
### 潜在缺点与局限性
– **依赖人工判断**：代码审查环节需分析者具备基础安全知识，无法完全自动化
– **覆盖面有限**：主要针对代码层威胁，对供应链攻击（依赖库投毒）检测能力不足
– **无运行时监控**：静态审查无法捕获动态行为异常
– **GitHub 依赖**：部分快速审查命令依赖外部 API，存在速率限制与可用性风险
### 适合人群
– 频繁安装第三方技能的 AI Agent 运维者
– 企业级 Agent 部署的安全管理员
– 对代码安全有一定认知的技术用户
### 常规风险
– **误报可能**：过度保守的审查策略可能阻碍合法功能（如合理的网络请求）
– **审查疲劳**：高频使用场景下可能因便利而跳过步骤，形成安全缺口
– **社会工程学盲区**：无法防范伪装成可信来源的恶意技能
会员专属
