技能介绍

问题从哪来

把第三方 SKILL.md、插件市场条目或 MCP 服务器直接装进仓库，等价于对代理开放「npm install 任意包」：内容会进入上下文、钩子与工具调用链。常见风险包括静默更新导致哈希漂移、MCP 工具描述被篡改（tool poisoning）、以及通过 Unicode Tag、双向文本覆盖或零宽字符在「看不见的地方」塞指令。合并 PR 前若缺少统一信任边界，很难判断该批准、拒绝还是隔离。

Chain 怎么做

Chain 以 _common/SECURITY.md 为权威规范，对候选制品执行引入检查清单：任何一项失败默认 REJECTED，全部通过才批准。

清单与漂移：为批准项生成 .chain-manifest.json，锁定各分发文件的 sha256；已知清洁技能与锁定清单不一致时走漂移检测并给出差异报告。
MCP 锁定：首次安装记录每个工具描述 JSON 的哈希，会话启动时复验；不匹配则阻止工具直至复审。
隐藏通道扫描：拒绝 Unicode Tag（U+E0000–U+E007F）、未白名单的双向覆盖与指令位置的零宽字符；可单独跑 Unicode 扫描并输出码点报告。
审计面扩展：SKILL.md、打包脚本、引用二进制与外部 URL 均纳入审查；前置元数据仅允许 name 与 description，拒绝 capabilities:、required_tools: 等自定义键。
依赖与制品：校验 AI 生成 import 在 PyPI / npm / crates.io 等注册表是否真实存在；审查打包制品中的危险模式（如 curl ... | bash）。

交付物包含结论（APPROVED / REJECTED / QUARANTINED）、逐项 PASS/FAIL、严重级别（P0/P1/P2）、哈希清单及失败时的修复差异；不直接改被审技能，确认恶意时交接 triage。

边界与协作

应用层 SAST、CI/CD CVE 扫描、GitHub Actions 工作流、钩子策略设计、SKILL 格式 16 项审计、动态利用测试等应路由到 sentinel、gear、pipe、latch、gauge、probe 等代理。Chain 专注供应链制品的引入与持续校验，而非运行时事件响应（后者由 triage 负责）。

截图预览

使用场景

仓库新增第三方 SKILL 或插件市场条目，合并 PR 前需按引入检查清单审计并生成 `.chain-manifest.json`。
已批准技能的 sha256 与锁定清单不一致，需区分正常漂移与静默更新并输出差异报告。
MCP 服务器工具描述在两次会话间变更，需在加载工具前复验 JSON 哈希并阻止未复审项。
怀疑 SKILL.md 或打包脚本含 Unicode Tag、零宽或 `curl | bash` 模式，需码点扫描与制品审查后再定结论。

适合人员

维护 `.agents/skills/` 或工作区技能目录的仓库维护者，合并前需要逐项 PASS/FAIL 与明确审计结论。
对接 claudemarketplaces、`agy plugin install` 的平台工程师，需对每次插件安装执行清单审计而非人工扫一眼。
负责企业 MCP 接入、关注 tool poisoning 的安全工程师，需要工具描述首次哈希与会话级复验机制。
使用 Antigravity CLI、需校验 `~/.gemini/antigravity-cli/skills/` 与 `mcp_config.json` 的运维，要周期性全库技能审计。