Skill Sentinel

要解决的问题

Agent技能在宿主环境中执行时，会继承文件、环境变量、凭据和网络等权限。公开生态中已出现有毒技能、提示注入、数据外泄和供应链投毒案例，恶意载荷常藏在辅助脚本或知识文档中，而 SKILL.md 本身看起来干净。结果是：一次看似无害的技能加载，可能变成对本地环境的隐蔽访问。

技能如何工作

Skill Sentinel 是一个执行前安全引擎，不是运行时监控，也不是权限系统。它的核心能力是把目录清点和威胁分析拆成可复核的流程。

• 锁定目标：确认要扫描的技能路径，路径不清时只问一次。
• 全量文件清点：读取目录与子目录中的每个文件，包括 SKILL.md、脚本、配置、agent 定义和知识文档，并记录文件总数与类型。
• 逐类威胁分析：按 Snyk ToxicSkills 分类衍生的威胁类别独立检查，例如恶意代码、提示注入、数据外泄、供应链威胁，并逐类记录发现。
• 暴露隐藏载荷：专门关注辅助文件中的引用脚本，因为 ClawHavoc 类攻击常把外泄逻辑放在这里，同时保持主描述无异常。

适用边界

它适合在加载或安装前做静态审查，也可以作为 CI 中的技能准入检查。但它只基于文件内容做静态分析，不执行代码，也不承诺覆盖零日漏洞；动态行为、权限配置和运行时网络访问仍需结合沙箱、最小权限和人工复核。