---

name: skill-vetter description: 'Use before installing or trusting an external skill to inspect instructions, scripts, permissions, dependencies, provenance, and suspicious behavior for security and reliability risks.' zh_description: "用于安装外部技能前审计指令、脚本、权限、依赖和来源风险。" version: "1.0.0" author: "seaworld008" source: "in-house" source_url: "" tags: '["security", "skill", "vetter"]' created_at: "2026-03-15" updated_at: "2026-06-29" quality: 2 complexity: "intermediate"

Skill Vetter

建议在安装任何社区技能或未经验证的第三方工具前，优先执行本技能进行安全前置审计。Skill Vetter 是确保 Agent 运行环境纯净、防止敏感数据外泄的首道防线。它通过静态代码分析、权限拓扑扫描及恶意模式匹配，为用户提供一份详尽的“安全体检报告”。

安装

npx clawhub@latest install skill-vetter

核心能力

• 检测潜在恶意/可疑指令：识别 rm -rf /, curl | bash, eval(base64_decode(...)) 等典型的后门或破坏性代码模式。
• 识别高风险权限与外部依赖：透视技能所需的 OAuth Scope (如 Gmail 全读写权限)、文件系统访问范围及第三方 API 请求域名。
• 输出风险等级与处置建议：根据发现的问题自动判定为 Critical, High, Medium, Low 四个等级，并给出相应的“沙盒运行”或“拒绝安装”建议。

触发条件 / When to Use

• 首次安装新技能：特别是从 GitHub、Gitee 或其他非官方验证渠道获取的技能。
• 技能版本升级：在执行 clawhub update 后，检查新版本是否悄悄增加了一些敏感权限或更改了核心逻辑。
• 可疑行为追溯：当 Agent 在执行某个任务过程中出现异常报错或试图访问无关目录时，使用 skill-vetter 对该技能进行二次复核。
• 合规性审查：在企业环境下，确保所有安装的 Agent 技能符合内部数据安全策略。
• 安全演练/红蓝对抗：作为防御方，模拟识别和拦截具有攻击性的恶意技能。

核心能力 / Core Capabilities

1. 静态代码嗅探 (Static Analysis)

• 操作步骤：
  1. 解压待审查技能的源码包。
  2. 使用正则表达式和 AST (抽象语法树) 扫描 SKILL.md, index.js, package.json 等关键文件。
  3. 检索敏感 API 调用（如 process.env, fs.writeFileSync）。
• 最佳实践：不仅要检查明文代码，还要通过 skill-vetter 识别经过简单混淆（Obfuscation）的代码块。

2. 权限地图扫描 (Permission Mapping)

• 操作步骤：
  1. 提取技能声明的 manifest.json 或 frontmatter 中的权限列表。
  2. 交叉对比系统白名单。
  3. 如果技能请求了不相称的高级权限（如“天气查询技能”请求“读取浏览器 Cookies”），标记为 Red Flag。
• 最佳实践：优先推荐具有 Least Privilege (最小权限原则) 的技能。

3. 外部网络连接审计 (Egress Audit)

• 操作步骤：
  1. 识别代码中硬编码的 URL 或 IP 地址。
  2. 匹配已知的恶意域名黑名单。
  3. 报告是否存在通过 DNS Tunneling 或其他手段窃取数据的风险。
• 最佳实践：对于闭源（Binary）或加密的技能，建议在隔离环境（Sandbox）中通过流量监控来进行审计。

4. 依赖链安全分析 (Dependency Chain Check)

• 操作步骤：
  1. 深度遍历 node_modules 或相关依赖树。
  2. 结合 Snyk 或 GitHub Advisory 数据库检查已知 CVE 漏洞。

常用命令/模板 / Common Patterns

安全审计报告模板 (Vetting Report Template)

### 技能基本信息
- **名称**: [target-skill-name]
- **版本**: [version]
- **作者**: [developer-handle]
- **来源**: [url/source]

### 综合风险评分: [B+ (Medium Risk)]

### 风险项详情
1. **网络通信 (Network)**: 发现连接到 `api.unknown-cloud.xyz`。
   - *影响*: 可能泄露用户会话 Token。
   - *建议*: 配置防火墙策略，拦截该域名。
2. **敏感权限 (Privilege)**: 请求了 `root_directory_access`。
   - *影响*: 该技能具备全盘删除能力。
   - *建议*: 修改权限配置文件，仅限制在 `/tmp/agent-workdir`。

### 最终结论 (Decision Support)
> [✓] 安全安装
> [!] 风险提示（需沙盒运行）
> [X] 拦截安装

快速扫描命令示例

# 扫描本地下载的技能包
skill-vetter scan --path ./downloaded-skill --format json --output report.json

进阶应用场景 / Advanced Use Cases

1. 自动化 CI/CD 安全门禁

• 在 Agent 平台的开发流水线中，集成 skill-vetter。只有通过 A+ 级安全审计的技能才允许合并进 main 分支或上架到企业私有仓库。

2. 动态行为隔离 (Dynamic Sandboxing)

• 结合 skill-vetter 的初步判断，为高风险技能自动生成 docker-compose.yml 配置文件，将其运行在完全隔离的容器环境中。

边界与限制 / Boundaries

• 误报风险 (False Positives)：合法的管理工具（如 backup-skill）也会使用高敏感 API，可能被标记为高风险。
• 无法完全覆盖动态运行：静态分析难以捕捉到在运行时动态下载并执行的代码（Remote Code Execution）。
• 性能开销：对包含数万个小文件的复杂技能进行深度 AST 扫描可能需要数分钟时间。
• 零日漏洞识别局限：对于此前从未出现过的全新恶意模式，本技能可能存在盲点。
• 闭源技能审计深度：如果不具备二进制反汇编能力，对编译后的 .exe 或 .so 文件的审计深度有限。

最佳实践总结

1. 先审后用：将 skill-vetter 设为全局钩子，在 install 命令执行前自动触发。
2. 信任等级划分：为不同来源设置信任分。官方 > 认证作者 > 社区贡献 > 匿名源码。
3. 定期全量复核：每月对已安装的所有技能进行一次“大体检”。
4. 人工审计辅助：对于 Critical 级别的报警，Agent 必须强制暂停并提示由具有安全背景的人员进行人工复核。
5. 最小化 Scope：如果一个技能只需读取文件，就不要给它写入权限。