用途：在采用智能体技能前进行安全审查，检测提示注入、恶意代码、过度权限、密钥暴露与供应链风险。
主要能力：内置 scripts/scan_skill.py 静态分析脚本，机械匹配确定性模式并输出含发现项、URL、结构信息与严重级别计数的 JSON；配合 references 下的提示注入模式、危险代码模式、权限分析参考文件，支持人工评估意图、过滤误报。
使用方式：需安装 uv CLI（安装指南见 https://docs.astral.sh/uv/getting-started/installation/）。所有脚本须从仓库根目录运行，脚本路径相对本技能根目录（含 SKILL.md 的目录）。运行 uv run scripts/scan_skill.py <skill-directory>。工作流分阶段：输入与发现、自动静态扫描、frontmatter 校验、提示注入分析、行为分析、脚本分析、供应链评估、权限分析。
适用场景：审查单个技能目录、按名称查找技能（优先 .agents/skills/<name>/，其次 skills/<name>/、.claude/skills/<name>/、plugins/*/skills/<name>/ 等），或扫描全部 */SKILL.md。
限制：脚本仅机械捕获模式，需人工判断意图并过滤误报；安全、测试、教育类技能常引用注入模式，属正常，不应误报。输出按严重级别与置信度分级，最终给出可安装、谨慎安装或不可安装的评估。具体收费、平台支持等信息暂未提供。