用途
该技能的核心用途是在安装 Agent Skill 之前完成一次安全审查。Agent Skill 是智能体将遵循的指令，可能要求智能体运行任意代码、安装软件包、发起网络请求或修改文件。仓库接受社区贡献，并明确表示无法保证已审查所有内容，因此该技能将“安装前审查”作为必要步骤。
主要能力
- 不安装即预览：使用
gh skill preview在终端渲染 SKILL.md，不写入任何文件；也可克隆仓库后以只读方式用grep、diff检查scripts/、references/等目录。 - 查阅仓库扫描报告：仓库每周一 09:00 UTC 通过 GitHub Actions 运行 Cisco AI Defense Skill Scanner，报告位于
docs/security-report.md（供人阅读）和docs/security-report.json（供机器读取，含每个技能的last_scanned）。 - 本地复扫：安装
cisco-ai-skill-scanner后运行skill-scanner scan /path/to/skill --use-behavioral，或使用仓库包装脚本scan_pr_skills.py，后者支持--fail-on阈值（CRITICAL、HIGH、MEDIUM、LOW、NEVER），并可输出 PR 评论格式。 - 辅助决策：根据扫描结果、技能作者（如
metadata.skill-author: K-Dense Inc.表示内部审查过）、是否包含scripts/、是否声明metadata.openclaw.envVars需要凭证等因素，决定是否安装。
使用方式
- 预览技能内容：
gh skill preview K-Dense-AI/scientific-agent-skills literature-review，可加@v2.66.0固定版本；交互模式下可浏览更多文件。 - 以只读方式克隆后检查：
git clone --depth 1 https://github.com/K-Dense-AI/scientific-agent-skills.git /tmp/sas，再用grep -rnE 'requests\.|urlopen|subprocess|os\.system|curl |wget '等命令定位网络与命令执行位置，用grep -rn 'environ\|getenv\|API_KEY'查看所需环境变量。 - 查阅扫描报告：读取
docs/security-report.json中的skills与totals字段，关注max_severity为 CRITICAL 或 HIGH 的技能。 - 本地扫描：
uv pip install cisco-ai-skill-scanner后运行扫描；或使用uv run python scan_pr_skills.py skills/literature-review --fail-on HIGH（需要SKILL_SCANNER_LLM_API_KEY）。 - 根据结果决定安装哪些技能，避免使用
--all全量安装。
适用场景
适用于需要从社区仓库或第三方来源安装 Agent Skill 的开发者与安全审查人员，尤其是当技能包含脚本、需要访问网络或环境变量时。也可用于 CI 流程中，在合并前对新增技能执行扫描与阈值阻断。
限制与注意事项
- 扫描报告是扫描时刻的快照，不代表当前状态；应结合
last_scanned与技能最近提交时间判断。 - 扫描结果中的发现项不等于恶意：AGENTS.md 列出了若干系统性误报，如
BEHAVIOR_*_EXFILTRATION、BEHAVIOR_ENV_VAR_HARVESTING、MDBLOCK_PYTHON_SUBPROCESS、*_EVAL_EXEC等。 scan_pr_skills.py在缺少SKILL_SCANNER_LLM_API_KEY时返回退出码 0（fail open），因此退出码 0 不能证明已扫描，需检查标准输出或确保环境变量存在。- 默认
--fail-on为 CRITICAL，但仓库 CI 传入 HIGH；手动运行时若想与 CI 一致需自行传入。 - 扫描技能内容不等于扫描依赖；技能所引导安装的 Python 包仍是独立攻击面。
- 若发现可疑内容，建议在仓库开 issue 而非静默移除。
暂未提供
该技能未提供图形界面、定价或收费信息、平台兼容性说明，也未提供除上述命令外的其他使用步骤。