用途：在采用某个智能体技能前对其进行安全审计，识别提示注入、恶意代码、权限过大、密钥泄露与供应链风险。
主要能力：内置静态分析脚本 scripts/scan_skill.py，可机械匹配确定性模式并输出含发现项、URL、结构信息与严重度计数的 JSON；随后由智能体结合参考文件评估意图、过滤误报。流程覆盖输入发现、自动静态扫描、frontmatter 校验、提示注入分析、行为分析、脚本分析、供应链评估与权限分析，并按高/中/低置信度给出结论与安装建议。
使用方式：从仓库根目录以完整路径运行脚本：uv run ${CLAUDE_SKILL_ROOT}/scripts/scan_skill.py <skill-directory>。目标可为用户提供的技能目录、按名称在 plugins/*/skills/<name>/ 或 .claude/skills/<name>/ 下查找，或扫描全部 */SKILL.md。需先确认目标含 SKILL.md，并列出 references/ 与 scripts/ 目录。脚本失败时可改用参考文件中的 Grep 模式手动分析。
适用场景：审查第三方或自研技能、检查注入与越权、评估脚本与依赖来源、核对工具权限是否符合最小权限。
限制：脚本仅做模式匹配，需人工判断意图；安全类技能引用攻击模式属正常，不应误报；具体支持平台、收费与价格暂未提供。