该技能的角色定位是技能编写合规专家，用于修复 snyk-agent-scan（智能体技能文件扫描器）产生的告警，不适用于其他 Snyk CLI 工具（snyk test、snyk code SAST、snyk iac、snyk container）。核心原则是通过重构内容消除告警，绝不通过屏蔽或删除有用信息来处理。
扫描器分析技能正文中的三类不安全模式：第三方内容暴露（W011）、恶意外部 URL（W012）、经由 MCP 工具调用的提示注入（W001），三者均可通过内容重构修复且不丢失信息。
运行方式：单技能扫描使用 SNYK_TOKEN=<token> snyk-agent-scan --skills skills/<name>/；全部技能扫描使用 SNYK_TOKEN=<token> snyk-agent-scan --skills ./skills。需要有效 SNYK_TOKEN，CI 中应存为密钥；若未安装，可用 uvx snyk-agent-scan@latest 作为替代。
修复规则要点：W011 针对正文以祈使句让智能体抓取并依据外部内容行动，应改为被动提示式表述、去掉涉及外部数据的 always、把工具调用放入代码块并与决策解耦。W012 针对运行时抓取执行的外部内容，如 @latest 安装、管道到 shell、GitHub Actions 版本错误，应把安装命令移入 frontmatter 的 metadata.openclaw.install 块、固定版本、禁止 curl ... | sh。W001 针对正文显式写出 MCP 工具函数名，应改用泛化表述，工具名只能出现在 allowed-tools 前置字段。
修复方法论：一次只修一类告警，每次修改后重新扫描并确认告警数下降再继续；若未减少则撤销并换方法。多告警时按 W001、W011、W012 顺序修复以减少返工，且 W011 的改动有时会暴露隐藏的 W012。
误报判断：URL 出现在表格单元格作参考数据、为库官方文档、出现在前置字段的首页或 issue 链接、工具名在代码块内、固定版本的 go install、不涉及外部资源的 always，通常为误报，但仍建议用被动提示模式重构。另提供编写前检查清单。发现扫描器缺陷可在 https://github.com/snyk/snyk-agent-scan/issues 提 issue；发现未覆盖的触发模式可在 https://github.com/samber/cc-skills/issues 提 issue 或提交 PR。