一、安装Skill之前，先做一次“不执行目标”的体检 🦅

AI 时代！人人都在深耕 AI 安全，你缺的就是这关键一步！

AI 正重塑安全边界，与其在门外徘徊，不如直接掌握主动权！

免费课程持续更新

https://space.bilibili.com/452583051/lists/7870008?type=season

Agent Skill 正在成为 AI 编程工具的新插件形态：一个 SKILL.md 加上脚本、配置和 MCP 定义，就能教智能体完成部署、抓取、测试、发布甚至安全操作。便利的另一面是，Skill 往往天然需要读取文件、调用 Shell、连接网络和接触凭证。只靠人工快速浏览，很容易漏掉一条藏在长文档里的危险命令。⚠️

SkillHawk 的定位非常直接：在 Skill 获得这些能力之前，用零依赖静态扫描检查 SKILL.md、Agent Skills 和 MCP 配置，而且绝不执行被扫描目标。它给每个结果分配规则编号、严重度、文件、行号、命中的指令和修复建议，并能输出 JSON 或 SARIF 接入 GitHub Code Scanning。

“不执行目标”是它最重要的安全边界。扫描恶意安装脚本时，扫描器本身不应该先成为第一个受害者。 🛡️

项目目前体量不大，但公开了 12 条规则、48 个合成样本、混淆矩阵和已知漏检。这种主动披露误报与漏报的做法，比只展示一个漂亮准确率更有价值，因为采购和接入决策需要知道工具在哪里会失败。 📊

二、12条规则，其实在检查四类信任跨越 🔍

SkillHawk 的规则表看似是十二个独立模式，背后可以归纳为四类信任边界。第一类是“网络到执行”：下载远程内容后直接传入 Shell、动态执行或编码混淆。攻击者希望让审查者看见的是安装命令，而机器执行的是远端随时可变的代码。🌐

第二类是“仓库到主机”：递归删除、宽泛权限修改、持久化、自启动和提权。一个正常 Skill 可能确实需要安装依赖，但它必须解释目标路径、变更范围、恢复方式与权限理由，不能用模糊命令覆盖整台主机。

第三类是“主机到外部”：读取 .env、SSH Key、Token，再通过 POST 或上传发送出去。单独看“读取配置”或“调用 API”可能都合理，组合起来却可能形成凭证外传链。🔐

第四类是“文本到决策”：诸如“忽略之前指令”“向用户隐藏操作”之类的提示注入式语句，试图改变 Agent 的行为优先级。Skill 是给 Agent 看的代码与说明混合体，因此自然语言本身也必须进入安全扫描面。 🧠

• 🔴 SH001—SH002：远程执行与混淆执行。
• 🟠 SH003—SH006：破坏、凭证、持久化与提权。
• 🟡 SH007—SH010：外传、权限放宽、提示注入与动态Shell。
• 🔵 SH011—SH012：未固定依赖与过宽文件访问。

每条发现都给出定位和建议，便于开发者从“被告警”转向“可修复”。例如远程脚本不应直接 curl | shell，而应先下载、验证来源与完整性，再显式执行；凭证访问则应缩小到必要的单个 Secret，而不是扫描整个主目录。🛠️

规则式扫描的优势是快速、可解释、易回归；缺点是对跨文件语义、别名、分步执行和新型混淆的理解有限。 这也是为什么它适合作为第一道门，而不是最终裁判。

三、93.75%不是“安全率”，而是一张公开成绩单 🧪

🎯【93.75%不是“安全率”，而是一张公开成绩单 🧪】

这一节真正关键的不是「93.75%不是“安全率”，而是一张公开成绩单 🧪」这个概念本身，而是它背后的判断路径、执行边界和可复用方法。

它怎样落到真实安全团队的工作流里？哪些细节会直接影响 AI 代理的可靠性？

加入 Oxo AI Security 知识星球，可查看本节完整内容，系统掌握「93.75%不是“安全率”，而是一张公开成绩单 🧪」的完整拆解与实战用法。

📚 AI 文献解读：最前沿的 LLM 安全论文深度剖析。

🐛 AI 漏洞情报：第一时间掌握主流大模型的 0-day 漏洞与越狱方式。

🛡 AI 安全体系：从红队攻击到蓝队防御的全方位知识图谱。

🛠 AI 攻防工具：红队专属的自动化测试与扫描工具箱。

🚀立即加入 Oxo AI Security 知识星球，掌握 AI 安全攻防核心能力！