技能介绍

问题：技能供应链的安全盲区

AI Agent 的技能生态存在一个被反复验证的供应链问题。公开注册表中相当比例的技能包含严重安全问题，攻击者一旦在技能中植入恶意逻辑，该技能将以 Agent 的全部权限运行——读取文件系统、访问凭据、连接网络，几乎没有沙箱隔离。传统的代码审计工具并不覆盖以自然语言指令为载体的攻击面，而人工审查又难以穷尽技能目录下每一个辅助文件。

工作方式：三阶段威胁分析

当技能哨兵被触发时，它遵循固定的激活协议：

识别目标 — 确认待扫描的技能目录路径，若目标模糊则向用户确认一次
清点文件 — 读取技能目录及所有子目录中的完整文件内容，包括 SKILL.md、脚本、配置、辅助文件与知识文档，不跳过任何文件
威胁分析 — 对每个文件逐一检查八个威胁类别，每类独立判定并记录发现

八个威胁类别覆盖了当前已知的主要攻击向量：

T1 数据外泄 — 检测向外部端点传输数据的指令或代码
T2 提示注入 — 检测试图覆盖 Agent 安全约束的嵌入式指令
T3 远程代码执行 — 检测运行时下载并执行外部代码的模式
T4 凭据窃取 — 检测对认证令牌、密钥等敏感信息的不当访问
T5 混淆载荷 — 检测 Base64、零宽字符等隐藏内容的编码手段
T6 权限提升 — 检测超出技能声明功能的权限请求
T7 供应链妥协 — 检测运行时从远程获取指令或配置的行为
T8 社会工程 — 检测误导性描述或操纵用户执行危险操作的指令

分析完成后，输出一份结构化威胁评估报告，包含总体风险评级（从 CLEAN 到 CRITICAL 五级）、各类别发现、执行摘要和修复指导。

注意点

分析的核心原则是上下文优先于关键词。一个 DevOps 部署技能合理地需要 shell 权限，而一个食谱技能不需要。每个外部引用、编码字符串和提权请求都应被视为可疑，直到能确认其符合技能声明的合理用途。自然语言本身就是攻击面——危险指令往往以普通英语句子的形式存在，而非传统意义上的恶意代码。