技能哨兵监控

要解决什么问题

Agent 技能生态存在供应链风险：技能一旦安装，就以宿主 Agent 的全部权限运行，文件系统、凭据、环境变量和网络连通性都会成为它的可访问范围。公开注册表中已发现大量恶意技能，恶意载荷往往藏在 SKILL.md 引用的辅助脚本或配置文件里，而非主描述文件中，以此躲过随手翻看。

工作流程

扫描按固定顺序执行三步：确定目标路径、清点目录内全部文件（含子目录、脚本、配置与知识文档）、逐类进行威胁分析。清点阶段不允许跳过任何文件，因为混淆载荷常被刻意放在参考文件里。

八个威胁类别各自独立判定，不共享结论：

• T1 数据外泄：向外部端点传输数据的指令或代码
• T2 提示注入：覆盖安全约束、重定义身份或权限边界的指令
• T3 远程代码执行：下载并执行外部内容的模式
• T4 凭据窃取：广泛读取环境变量或明文存放凭据
• T5 混淆载荷：编码、零宽字符等隐藏真实用途的内容
• T6 权限提升：超出技能声明范围的权限请求
• T7 供应链投毒：运行时从远程拉取指令或依赖不可信外部资源
• T8 社工诱导：利用用户信任让其执行危险动作

每类输出分级：CRITICAL、HIGH、MEDIUM。全部扫描完成后生成结构化报告，包含总体评级、逐类结论、执行摘要，评级达到 MEDIUM 以上时附带具体修复建议。

适用边界与注意点

• 上下文优先于关键词：运维技能需要 shell 权限是合理的，食谱技能要 ~/.ssh/ 就是红旗。
• 默认不信任：外部引用、编码字符串、提权请求都先当可疑，直到确认其符合技能声明。
• 追踪数据流：追踪信息进入、处理、离开的路径，任何把敏感数据导向外部端点的链路都是潜在外泄通道。
• 辅助文件同等严格：攻击者专门把载荷放在 reviewer 不仔细看的文件里。
• 自然语言也是攻击面：威胁常以英文指令形式存在，告诉 Agent 去做危险的事，而不是传统意义上的代码缺陷。