NVIDIA / SkillSpector

∴ 是什么

SkillSpector 是一个针对 AI 代理技能（如 Claude Code、Codex 等）的安全扫描工具，由 Python 编写。它采用两阶段分析：快速静态分析加上可选的 LLM 语义评估，支持扫描 Git 仓库、URL、zip 文件、目录或单个文件。工具覆盖 71 种漏洞模式，分布在 17 个类别中，并输出终端、JSON、Markdown 和 SARIF 格式的报告。

∴ 解决什么问题

• ›AI 代理技能在安装前缺乏充分审查，可能包含漏洞或恶意意图
• ›需要检测提示注入、数据外泄、权限提升、供应链风险等安全问题
• ›扫描结果难以与既有工作流集成，需要多种输出格式和基线抑制误报

∴ 怎么上手

1. 01创建并激活虚拟环境
2. 02使用 uv 快速安装：uv tool install git+https://github.com/NVIDIA/skillspector.git
3. 03扫描本地技能目录：skillspector scan ./my-skill/
4. 04扫描单个 SKILL.md 文件：skillspector scan ./SKILL.md
5. 05扫描 Git 仓库：skillspector scan https://github.com/user/my-skill
6. 06扫描 zip 文件：skillspector scan ./my-skill.zip

∴ 适合谁

适合使用 Claude Code、Codex CLI、Gemini CLI 等 AI 代理工具的开发者和安全工程师，需要在安装或集成第三方技能前评估其安全性。

∴ 要点

• ›支持多格式输入：Git 仓库、URL、zip 文件、目录或单个文件
• ›71 种漏洞模式，覆盖 17 个类别，包括提示注入、数据外泄、供应链风险等
• ›两阶段分析：快速静态分析加可选 LLM 语义评估
• ›实时漏洞查询：通过 OSV.dev 获取 CVE 数据，支持离线回退
• ›提供 0-100 风险评分和严重性标签
• ›支持基线抑制误报，只报告新发现的问题

∴ 在榜记录

GitHub Trending 今日榜的每日存档，日期按北京时间。2026-10-26 首次上榜，累计在榜 2 天，最高第 7 名。