AI Skill 安装前检查什么？用 skill-audit 识别恶意脚本和过度权限

网纱

2026年8月25日2026/8/25

14 次浏览14

使用 skill-audit 时，应先固定待审计版本，再检查脚本、网络访问、凭据读取和写文件行为。它能帮助定位风险，但不会替用户做安装决定。 PromptHub Skill 能力库适合先发现项目、阅读中文说明并定位原始来源；最终结论应以项目仓库、当前版本和你的运行环境为准。

AI Skill 安装前检查什么？用 skill-audit 识别恶意脚本和过度权限

直接答案

一份可复现的审计顺序。选择这类项目时，先明确目标产物、输入数据、运行平台和权限范围，再判断项目是否真的解决当前问题。

示例是审计一个包含 scripts/ 的 Skill 包；输出应列出可疑命令及文件路径，便于开发者复核。可观察的结果应包括具体文件、工具响应、预览产物或日志，而不是只得到“支持/不支持”的抽象结论。

如果扫描误报，回到源码确认调用链；如果发现读取密钥或删除文件的行为，应停止安装并报告来源。

审计结果只针对当前版本和扫描规则，PromptHub 的目录状态也不构成安全认证。 PromptHub 的收录、热度或静态状态不等于安全认证，也不保证跨 Agent 兼容；安装脚本、网络请求和许可证仍需自行审查。