SkillSpector – 英伟达开源的 AI Agent 技能安全扫描工具

1. SkillSpector是什么

SkillSpector是由NVIDIA开源的一款AI Agent技能安全扫描工具，专为在安装Claude Code、Codex CLI、Gemini CLI等平台的技能之前自动检测漏洞、恶意模式及安全风险而设计。该工具支持Git仓库、URL、压缩包、目录及单个文件等多种输入格式，内置64个漏洞模式覆盖16个安全类别，提供快速静态扫描与可选LLM语义评估的两阶段分析管道，输出终端、JSON、Markdown及SARIF等格式报告，并附带0-100风险评分与修复建议。其核心价值在于填补了AI Agent生态中技能安全检测的空白，为开发者、企业及平台提供了一套可落地的安全审查方案。

技术定位与领域： SkillSpector属于AI安全领域，专注于AI Agent技能的安全扫描。它不同于传统的代码安全扫描工具，而是针对Agent技能特有的威胁模型（如提示注入、过度代理、系统提示泄露等）进行深度优化。该工具定位为本地化、轻量级的CLI工具，旨在成为Agent技能安装前的第一道安全防线，适用于开发者个人、企业CI/CD流水线以及技能市场平台等场景。

研发背景： 由NVIDIA开发，基于其在GPU计算和AI安全领域的深厚积累。随着AI Agent的广泛应用，特别是Claude Code、Codex CLI、Gemini CLI等平台的出现，技能安全成为关键挑战。恶意技能可能导致数据泄露、系统入侵等严重后果。NVIDIA推出此工具旨在推动Agent生态的安全发展，为社区提供标准化的安全检测手段。

核心价值： 解决了Agent技能安装前的安全审查难题。传统安全扫描工具无法有效检测Agent技能特有的威胁，而SkillSpector通过内置的64个漏洞模式和两阶段分析管道，实现了对提示注入、数据外泄、供应链投毒等风险的精准识别。其0-100风险评分系统为用户提供了直观的决策依据，CI/CD原生集成则使安全管控能够左移到开发阶段。

技术特点： 采用两阶段分析管道，第一阶段基于正则表达式和AST进行快速静态扫描，实现高召回率；第二阶段可选LLM语义评估，将精确率提升至约87%。内置64个漏洞模式覆盖16个安全类别，从提示注入到供应链投毒实现端到端检测。支持多格式输入输出，实时对接OSV.dev数据库查询已知CVE，无需API密钥，支持自动离线回退。

2. 主要功能

• 多格式输入扫描： 支持Git仓库、URL、压缩包、目录及单个文件等多种输入格式，用户无需预处理即可直接扫描，降低使用门槛。该功能使得SkillSpector能够适应不同来源的技能包，无论是从GitHub克隆的仓库，还是通过URL下载的压缩包，均可一键扫描。

• 64个漏洞模式覆盖16个安全类别： 内置的漏洞模式库涵盖了提示注入、数据外泄、权限提升、供应链投毒、过度代理、输出处理、系统提示泄露、记忆投毒、工具滥用、流氓代理、触发器滥用、危险代码AST、污点追踪、YARA签名、MCP最小权限及MCP工具投毒。这一全面的覆盖范围确保了从攻击面到攻击链的端到端检测能力。

• 两阶段分析管道： 第一阶段采用正则表达式和AST进行快速静态扫描，检测危险代码调用（如exec、eval、subprocess等），并实时查询OSV.dev数据库获取已知CVE。第二阶段可选LLM语义评估，通过OpenAI、Anthropic或NVIDIA等兼容端点评估上下文和意图，过滤误报，提供人类可读解释。这一设计在效率和准确性之间取得了良好平衡。

• 实时漏洞查询： 通过OSV.dev API实时查询已知CVE，无需API密钥，支持自动离线回退。该功能使得SkillSpector能够及时发现依赖库中的已知漏洞，并在离线环境下仍能基于本地缓存进行扫描，保障隔离环境可用。

• 多格式输出： 支持终端、JSON、Markdown及SARIF四种输出格式。其中SARIF格式支持直接接入GitHub Code Scanning及企业持续集成流水线，实现自动化安全管控。JSON和Markdown格式则便于二次处理和文档化。

• 风险评分系统： 采用0-100分的量化评分机制，CRITICAL问题+50分，HIGH+25分，MEDIUM+10分，LOW+5分，可执行脚本额外施加1.3倍乘数。最终按0-20（LOW/SAFE）、21-50（MEDIUM/CAUTION）、51-80（HIGH/DO NOT INSTALL）、81-100（CRITICAL/DO NOT INSTALL）分级。这一评分系统为用户提供了直观的决策依据。

3. 应用场景

• 开发者预安装审查： 在本地安装第三方AI技能前执行快速扫描，根据风险评分决定安装或拒绝。开发者可以通过skillspector scan命令直接扫描技能包，查看漏洞详情和修复建议，避免引入恶意技能。

• 企业CI/CD安全门禁： 将扫描集成至持续集成流水线，自动拦截高风险技能提交。通过SARIF格式输出，可以直接接入GitHub Code Scanning，在PR阶段自动检测安全风险，实现左移安全管控。

• 技能市场平台审核： AI技能商店或MCP市场在技能上架前执行自动化安全审查，向用户展示信任评分。平台管理员可以批量扫描提交的技能包，根据风险评分决定是否上架，并向用户展示安全评级。

• 独立开发者自我审计： 技能作者在发布前主动扫描自有项目，定位并修复潜在漏洞，提升作品可信度。开发者可以在发布前使用skillspector scan扫描自己的技能项目，根据报告中的修复建议进行改进。

• 安全研究批量分析： 研究人员对大规模技能数据集执行批量扫描，统计漏洞分布、恶意模式趋势及生态安全基线。通过脚本调用skillspector scan，可以批量处理多个技能包，生成JSON格式报告用于后续分析。

4. 如何使用

1. 环境要求： 需要Python 3.8或更高版本，以及Git客户端。推荐使用uv或pip作为包管理器。操作系统支持Linux、macOS和Windows。确保网络连接正常以获取依赖包和查询OSV.dev数据库。

2. 安装部署： 克隆GitHub仓库：git clone https://github.com/NVIDIA/skillspector.git，然后进入目录并创建虚拟环境：python -m venv venv，激活虚拟环境后执行make install命令安装生产依赖。如需开发环境，执行make install-dev安装开发依赖。

3. 执行扫描： 使用skillspector scan命令后跟目标路径。例如，扫描一个Git仓库：skillspector scan https://github.com/example/skill-repo.git。扫描一个本地目录：skillspector scan /path/to/skill-directory。工具会自动识别输入格式并执行扫描。

4. 配置LLM（可选）： 设置SKILLSPECTOR_PROVIDER环境变量选择OpenAI、Anthropic或NVIDIA提供商，并配置对应的API密钥。例如，使用OpenAI：export SKILLSPECTOR_PROVIDER=openai和export OPENAI_API_KEY=your-key。启用LLM语义分析后，工具将进行第二阶段分析，提升精确率。

5. 查看报告： 通过--format参数指定输出格式，支持terminal、json、markdown和sarif。使用--output参数指定报告保存路径。例如：skillspector scan /path/to/skill --format json --output report.json。默认输出到终端。

6. 注意事项： 首次运行可能需要下载漏洞模式数据库，确保网络连接。启用LLM分析时，需注意API密钥的安全性。在离线环境下，OSV.dev查询将自动回退到本地缓存，但可能无法获取最新CVE信息。

5. 优缺点分析

6. 同类工具对比

选型建议： 对于专注于AI Agent技能安全检测的场景，SkillSpector是最佳选择，其针对Claude Code、Codex CLI等平台的深度优化和内置的64个漏洞模式使其在Agent安全领域具有显著优势。如果企业需要更全面的代码安全扫描能力，Semgrep和Snyk是更通用的选择。Semgrep的开源特性和丰富的社区规则库使其适合预算有限的小团队，而Snyk的云关联分析和漏洞数据库则更适合大型企业。Cisco Skill Scanner虽然功能强大，但作为商业产品且未开源，适合对安全要求极高且预算充足的机构。

7. 编辑点评

技术创新性评估： SkillSpector在AI Agent安全领域具有显著的创新性。其两阶段分析管道设计巧妙，静态扫描实现快速响应，LLM语义评估则大幅提升精确率。内置的64个漏洞模式覆盖16个安全类别，从提示注入到供应链投毒，几乎涵盖了Agent技能可能面临的所有威胁。特别是其针对Agent特有威胁模型（如过度代理、系统提示泄露）的检测能力，是传统安全扫描工具所不具备的。

实用价值分析： 该工具解决了AI Agent生态中一个迫切的安全需求。随着Claude Code、Codex CLI等平台的普及，恶意技能的风险日益增加。SkillSpector提供了一个可落地的安全审查方案，开发者可以在安装技能前快速扫描，企业可以将其集成到CI/CD流水线中实现自动化管控。其0-100风险评分系统为用户提供了直观的决策依据，多格式输出则便于集成到现有工作流中。

适用人群定位： 该工具主要面向AI Agent开发者、安全工程师、DevOps团队以及技能市场平台管理员。对于开发者，它提供了一个快速安全审查的手段；对于安全工程师，它提供了深度分析能力；对于平台管理员，它可以作为技能上架前的自动化审查工具。

未来发展潜力： 随着AI Agent生态的快速发展，技能安全的需求将急剧增长。SkillSpector有望成为Agent安全领域的标准工具。未来可能的发展方向包括：扩展漏洞模式库以覆盖更多攻击手法、集成更多LLM提供商、支持更多Agent平台、以及提供可视化报告界面。

8. 常见问题FAQ

Q：SkillSpector支持哪些输入格式？
A：支持Git仓库、URL、压缩包、目录及单个文件。用户无需预处理即可直接扫描，工具会自动识别输入格式并执行扫描。

Q：如何启用LLM语义分析？
A：设置SKILLSPECTOR_PROVIDER环境变量选择OpenAI、Anthropic或NVIDIA提供商，并配置对应的API密钥。启用后，工具将进行第二阶段分析，评估代码的上下文和意图，过滤误报。

Q：扫描结果中的风险评分如何计算？
A：CRITICAL问题+50分，HIGH+25分，MEDIUM+10分，LOW+5分，可执行脚本额外施加1.3倍乘数。最终按0-20（LOW/SAFE）、21-50（MEDIUM/CAUTION）、51-80（HIGH/DO NOT INSTALL）、81-100（CRITICAL/DO NOT INSTALL）分级。

Q：是否支持离线扫描？
A：支持。静态扫描完全离线运行，无需网络连接。OSV.dev查询在离线环境下会自动回退到本地缓存，但可能无法获取最新CVE信息。

Q：如何将扫描结果集成到CI/CD流水线？
A：通过--format sarif参数生成SARIF格式报告，然后使用--output指定输出路径。SARIF报告可以直接接入GitHub Code Scanning或其他支持SARIF格式的CI/CD平台。

Q：是否支持自定义漏洞模式？
A：目前不支持自定义漏洞模式，但NVIDIA计划在后续版本中开放规则库的扩展接口。用户可以通过GitHub提交issue或PR来贡献新的漏洞模式。

9. 项目地址

• GitHub仓库： https://github.com/NVIDIA/skillspector