装别人的 Skill 有多危险

它替你干掉什么：把「装之前看不见」变成「装之前能列清单」

# ① 先盘点机器上「已经」有什么（覆盖十几种 client 的配置位置）
uvx snyk-agent-scan@latest

# ② 对下一个候选：静态扫一遍（--no-llm = 不调模型，纯静态）
uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan ./candidate-skill/ --no-llm

# ③ 官方：不起会话，列出它到底往你这儿装什么
claude --plugin-dir ./that-plugin plugin details <plugin-name>

# ④ 结构体检——注意它只验结构，不验安全
claude plugin validate ./that-plugin

四条分别替你干掉什么、什么时候别用

• snyk/agent-scan（Apache-2.0；据其 GitHub 仓库页 2026-10 约 3.1 千 star）— 替你干掉「不知道这台机器上已经装了什么」：它先发现已安装的 harness、MCP server 与 skill，再按十四类风险扫（提示注入、不可信内容、私有数据外泄、破坏性能力、恶意代码、可疑下载、凭据处理不当……）。--no-skills 只扫 MCP，--ci 有发现就非零退出。别用的时候：你一个第三方都没装；以及别把 --dangerously-run-mcp-servers 写进脚本——那是放弃逐个同意。
• NVIDIA/SkillSpector（Apache-2.0；据其 GitHub 仓库页 2026-10 约 1.89 万 star）— 替你干掉「打开 SKILL.md 却不知道该找什么」：71 个模式分 17 类（提示注入、数据外泄、权限提升、供应链、过度代理、记忆投毒、MCP 工具投毒……），出 0–100 风险分与 SARIF / JSON / Markdown 报告，接 git 仓库、URL、zip、目录或单文件。别用的时候：你只想看个绿勾不打算读报告——那它只会给你虚假安心。
• claude --plugin-dir … plugin details（官方，零安装）— 替你干掉「面板不告诉我它有几个 hook」：读目录而不起会话，打印 Component inventory——skills 与命令、agents、每个 hook 连它挂的事件、MCP 与 LSP server。装完之后同一条 claude plugin details <name> 看的是 ~/.claude/plugins/cache/ 里那份实装副本。
• claude plugin validate — 验 JSON 语法、必填字段、命名规则、相对路径里的 ..。诚实说清：它不看 hook 跑什么命令，✔ Validation passed 跟安全无关。

机制：为什么权限规则和沙箱接不住这件事

代码执行路（四个入口）

• hooks：在生命周期节点上作为 shell 命令运行，比如每次工具调用前后。
• MCP 与 LSP server：stdio MCP server 是 Claude Code 在你机器上起的一个进程。
• bin/ 目录：被加进 Bash 工具那个 shell 的 PATH。
• auto-update：开着的时候，你审过的那些文件会在后台被换掉。

官方把边界划得很直白：权限规则与沙箱管的是 Claude 发起的工具调用，不管 plugin 自己跑的代码——hooks 和 MCP server 由 Claude Code 跑在沙箱之外，带你完整的用户权限。只有当 Claude 用 Bash 去调 bin/ 里那个可执行文件时，那才算一次工具调用，你的权限规则才拦得到。

指令注入路（这条更难防）

skills、slash 命令、agents 不执行代码，它们作为指令进入上下文，改写模型打算用已有工具干什么。而 skill 的 allowed-tools 能自己给自己授权：官方原话是工作区信任不 gate 这个字段——「一个 skill 可以给自己授予很宽的工具访问权，所以在一个仓库里跑 Claude Code 之前，先审它签入的 skill 的 allowed-tools」。skill 正文里的 ! 命令行同理：那是在内容送给模型之前在你机器上跑的。

所以陌生仓库里这么跑

# 一次性最省事：什么项目侧定制都不读
claude --bare -p "审一下这个仓的结构"
# 或者按需关：只读用户设置 / 关掉全部 hook / 点名拒某个 .mcp.json server
claude --setting-sources user -p "…"
claude --settings '{"disableAllHooks": true}' -p "…"
# 常驻两条：杀掉 skill 正文里的 shell 执行；按名字拒某个 skill
{ "disableSkillShellExecution": true,
  "permissions": { "deny": ["Skill(skill:deploy)"] } }

disableAllHooks 写在你的用户设置里不够——项目设置优先级更高，能把它改回 false，所以要走 --settings。deny 规则里裸写 Skill 是把整个工具从模型上下文里摘掉；Skill(skill:<name>) 这种写法则能按它的任何别名命中同一个 skill。

用法与边界：三层信任各自保证了什么，以及怎么把版本钉死

社区目录的 README 把它的保证写得很具体：每个条目都经 claude.ai 提交、通过自动化安全扫描、获批分发；仓库本身是只读镜像，直接提 PR 会被自动关闭，每夜从内部流水线同步。配套的硬约束在客户端：该目录给近乎每个条目钉了 commit SHA，你想装另一个 commit，Claude Code 直接拒绝。第三方那一层就没有这些——官方原话是 Anthropic 不审第三方 marketplace。

审完即变：把版本钉死

• 默认值记住就行：官方那批保留名默认开 auto-update（knowledge-work-plugins 与 first-party-plugins 除外），社区、第三方、本地开发 marketplace 默认关。第三方那个就让它保持关着，别手动开。
• 钉 ref：加 marketplace 时 /plugin marketplace add your-org/plugins#v1.2.0 把它钉在 tag 上。
• 钉摘要：archive 源可以在条目里钉 sha256，下载文件摘要不符就拒装。

卸载不等于清干净

claude plugin uninstall <plugin> --scope <你装的那个 scope> 之后，它的文件还会留在 ~/.claude/plugins/cache/ 里十四天才被后台清理，要立刻没就自己删那个目录。真正不信任的是 owner 的话，连 marketplace 一起删——那会把从它装的每个 plugin 都卸掉。

团队侧：六个具名的托管设置键

strictKnownMarketplaces（源白名单，别名 allowedMarketplaces；空数组 [] 连官方一起挡）· blockedMarketplaces（黑名单，先于白名单判）· disableSideloadFlags（拒 --plugin-dir / --plugin-url / --agents 与 CLAUDE_CODE_PLUGIN_DIRS）· strictPluginOnlyCustomization（只许 plugin、托管设置或内置来源的 skills / agents / hooks / mcp）· allowManagedHooksOnly · pluginTrustMessage（往安装前那条信任警告后面接你自己的话）。

代价与替代品：扫描器给的是线索，不是判决

两笔要认的账

• 静态扫描的边界是 SkillSpector 自己写的：非英文内容可能漏、图片里的文字分析不了、加密与二进制内容分析不了、只做静态不跑运行时、离线时某项供应链检查退回一份很小的内置清单。换句话说，一份干净报告的含义是「这 71 个模式没命中」，不是「这东西安全」。
• 判「是不是威胁」要看它声称干什么。 一个 hook 往外发网络请求，在部署类 plugin 里是正常功能，在一个写作 skill 里就是外泄。这一步扫描器结构上做不了——它不知道你为什么装它。另外扫描器本身也是你装进来的东西：agent-scan 要去读十几个 client 的配置，默认逐个征求同意是对的。

不装它，你还能怎么办（从便宜到贵）

1. 只抄不装。 把它的 SKILL.md 读完，把真正有用的那二十行抄进你自己的 .claude/skills/——不要它的 hooks、不要 bin/、不要它捎带的 MCP server。方法论型 skill 的价值几乎全在正文里，而正文是唯一你能一眼读完的部分。
2. 一次性试。 claude --plugin-dir ./that-plugin 只为这一次会话加载，不写进 enabledPlugins（注意：团队开了 disableSideloadFlags 时这条会被拒）。
3. 先读官方的，把「正常」校准出来。 anthropics/skills（据其 GitHub 仓库页 2026-10 约 17.9 万 star；多数 Apache-2.0，docx/pdf/pptx/xlsx 四件套为 source-available）与 anthropics/claude-plugins-official。读过几个正常的，你才看得出第三方那个为什么多了一个 hook。