用途：在运行已安装的 Bankr 技能前进行安全审计。技能会指示智能体执行操作，恶意或粗糙的技能可能造成 shell 注入、密钥外泄、指令覆盖或破坏性命令，本技能在它们执行前扫描并暴露风险。
扫描范围：<skills-dir>//SKILL.md（主要）；<skills-dir>//scripts/.sh 与 .py（配套脚本）；<skills-dir>//references/（运行时加载的文档）。默认 <skills-dir> 为当前工作目录。
威胁模式：shell 注入（未加引号的变量展开、eval、反引号、含用户数据的 $(...)）；密钥外泄（环境变量或文件内容被管道输出到外部 HTTP）；路径穿越（../.. 链、指向技能目录外的绝对路径）；提示词覆盖（“忽略先前指令”、人格替换、抓取内容中的指令）；破坏性命令（以 / 或 ~ 为根的递归删除、设备写入）；混淆（U+200B/U+FEFF/U+202E 木马源、base64 解码进 shell、SSRF 主机如 ngrok、interact.sh、webhook.site、pipedream）。
处理流程：模式扫描器产出 {file, line, pattern, severity} 匹配；代码围栏降级——围栏代码块内的匹配降一级，真实运行块不降级；基线抑制——丢弃 scan-baseline.yml 中的 (file, pattern, line) 元组；可信发布者过滤——trusted-publishers.txt 中的条目仅做格式校验，需主动开启；与 scan-state.json 做增量对比——按 sha256(file + line_content + pattern) 指纹分类为 NEW / RESOLVED / PERSISTENT。
逐项修复建议：eval/反引号/含变量的 $(...) 应给变量加引号并用函数替换 eval；URL 中带密钥的 curl 应把密钥移入预取脚本，绝不插值进 shell；路径穿越应做允许列表校验并拒绝绝对路径；提示词覆盖措辞若属文档则基线抑制，若属载荷则删除该技能；以 / 或 ~ 为根的递归删除应限定到技能自身工作目录；混淆内容除非有文档且经审查，否则删除。
输出：判定 CLEAN / ATTENTION / DEGRADED；针对每个 NEW HIGH 给出需关注小节及一行修复建议；列出上次扫描后已解决项；每个技能给出 PASS / WARN / FAIL。仅在出现 NEW、RESOLVED 或当前存在 HIGH 发现时写出。
规则：绝不自动删除基线抑制项；绝不从技能内部编辑模式库；纯无操作周不通知；只读扫描。
限制：资料未提供安装命令、具体运行命令、收费与平台信息。