用途：帮助用户把 Skill 压缩包提交到阿里云 Agent Security Center（AISC）做安全扫描，轮询检测任务并解释返回结果。当用户问“这个 Skill 安不安全”“能放心安装吗”“有没有恶意代码、敏感凭据或提示词注入”，或询问如何运行、轮询、诊断、解读 AISC Skill 扫描时使用。仅做 Skill 安全检测；通用 Skill 编写、安装、文档等无安全意图的请求不在范围内。
主要能力：调用两个 AISC OpenAPI——CreateSkillFileCheck（每次提交 1 至 10 个 Skill 文件下载 URL）与 ListSubTasks（按 rootTaskId 轮询子任务结果）。Python 封装脚本 scripts/skill_file_check.py 支持 submit、poll、run 子命令；超过 10 个文件会自动分批并返回聚合报告。
使用方式：安装依赖 python3 -m pip install -r scripts/requirements.txt。默认端点 https://aisc.cn-shanghai.aliyuncs.com；用户明确要求新加坡/海外时在子命令前加 --endpoint https://aisc.ap-southeast-1.aliyuncs.com。端到端扫描示例：SKILL_SESSION_ID={session-id} python3 scripts/skill_file_check.py run --files '[{"download_url":"...","file_name":"..."}]' --output ./check-report.json。分步则先 submit --output ./submit-report.json，再 poll --root-task-id <rootTaskId>。可选参数 --interval（默认 10 秒）、--timeout（默认 600 秒）。
关键限制：提交前不得下载、打开、探测或预校验用户提供的 download_url，禁止 curl、wget、HEAD、GET、requests 等；URL 需逐字节原样传入。凭据须来自 alibabacloud_credentials 默认凭据链，禁止读取、打印或要求粘贴凭据值。需要 RAM 权限 aisc:CreateSkillFileCheck 与 aisc:ListSubTasks。仅支持 ZIP、TAR、.tar.gz/.tgz 压缩包，原始 SKILL.md、HTML 页面或 JSON 描述文件不受支持。若全部上传失败，root_task_id 为 null，poll 与 total_tasks 标记为未查询，不得推断缺失计数或风险结论。版本取自 references/manifest.json（当前 2026-01-01），并生成 32 位小写十六进制会话 ID 用于 user-agent。