AI技能安全扫描器：给你的AI智能体装上“杀毒软件”

随着AI智能体（如Claude Code、Gemini CLI等）日益普及，用户可通过安装“技能（Skills）”快速扩展其能力——但这些看似便捷的小插件，可能暗藏风险。NVIDIA推出的SkillSpector正是一款专为AI技能设计的开源安全扫描工具，它能在你点击“安装”前，自动检测代码中潜藏的漏洞、恶意行为与越权风险，把安全隐患挡在运行之前。

核心功能

• 多源一键扫描：支持直接分析GitHub仓库、网页URL、ZIP压缩包、本地文件夹甚至单个Python/JSON文件，无需手动解压或克隆
• 64种高危模式全覆盖：涵盖提示注入、数据外泄、系统提权、供应链污染、过度自主权、敏感提示泄露、内存投毒等16类典型AI安全威胁
• 双阶段智能分析：先通过静态规则引擎快速筛查（毫秒级），再可选启用LLM进行语义级深度评估，兼顾效率与准确性
• 实时CVE联动：自动查询OSV.dev权威漏洞数据库，识别已知AI相关组件风险；断网时自动降级为本地离线规则库，不中断扫描
• 适配主流AI技能生态：原生支持Claude Code、Codex CLI、Gemini CLI等平台的技能格式规范，开箱即用
• 开发者友好扩展架构：模块化设计，支持自定义YARA规则、AST分析器或MCP（Model Control Protocol）合规性检查器

适合哪些人用

AI应用开发者、企业AI平台运维人员、开源技能发布者、安全研究员，以及任何希望在部署第三方AI技能前做一次“健康体检”的技术决策者。尤其推荐给正在构建内部AI智能体平台的团队——它能成为CI/CD流水线中的关键安全门禁。

快速上手

只需三步即可开始扫描：

1. 安装：执行 pip install skill-spector（需Python 3.12+）
2. 扫描单个技能：运行 skill-spector scan https://github.com/example/ai-skill
3. 查看报告：终端输出结构化风险等级（HIGH/MEDIUM/LOW）、具体触发规则编号及修复建议；支持JSON/HTML格式导出供审计归档

进阶用户可参考官方开发指南，轻松添加自定义检测逻辑或集成到自动化流程中。

项目信息

编程语言：Python｜Star 数：2254｜开源协议：Apache-2.0｜GitHub 项目地址

这是目前唯一由头部AI厂商开源、面向AI技能全生命周期的安全审计工具——不靠黑盒检测，而用可解释、可审计、可定制的规则引擎，真正让AI安全变得透明可控。