你装的AI工具,有的不等你点头

上周我把自己电脑里的 AI 工具清单导出来数了一遍，364 个。里面有 151 个，不只是能聊天——它们带执行入口，能直接花钱、能把东西发出去、能把文件删掉。

更有意思的是后一层：这 151 个里，有 34 个从头到尾没写过「确认」两个字。

我是怎么数的

清单来源是本机两个目录：~/.workbuddy/skills（用户级技能）和 ~/.workbuddy/plugins/cache（插件缓存）。我把所有 SKILL.md 逐个读进来，共 364 份。

判定分两层。头一层只看危险动作词：花钱类（支付/下单/订阅/扣费/报销/退款）、发布类（发布/群发/推送/发消息）、删除类（删除/卸载/清空/rmtree）。第二层看有没有真实执行入口（curl / subprocess / os.system / requests / urllib / 写文件调用 / shell 命令）。

两层都中的才算数。光有「订阅」两个字不算，它得真能调接口或落盘。

口径说清楚：这是关键词 + 执行入口的静态扫描，不是运行时行为观测。它会漏掉用变量拼出来的命令，也会把纯文档里提到「发布」但实际不调的算进来。所以下面的数字是上界，实际动手能力只会更低，不会更高。

151 个都在干什么

按命中类型拆开（一个技能可以同时命中多类）：

三类全中的那 13 个值得先看。它们同时握着「花钱、发出去、删掉」三件事，一个装错的地方就没法回滚。

再看确认机制：151 个里，117 个的文档里出现过「确认」「二次」「授权」「approve」这类字样，34 个一次都没出现。

这 34 个需要你亲手过一遍——不是你装它们出了事，是它们自己都没提示你这事需要你点头。

三个问题，问完就知道该留哪个

问题一：这个工具除了聊天，还改不改我硬盘上的东西？

改硬盘的动作是不可逆的。删掉一个文件夹、把一张照片覆盖写、在配置里插一行你后来看不懂的内容——这些都不会自动撤销。凡是答案里带「是」的，先去它的文档里找有没有撤销路径。找不到就当它没有。

问题二：它有没有一个「能自己花钱」的接口？

这一类容易被忽略。判断方法不是看它聊什么，是看它有没有支付、下单、充值、订阅续费这类真接口。我这 151 个里花钱类命中 55 个（16 + 15 + 13 + 11），这个比例比大多数人以为的高。

问题三：它把结果发到哪儿去？

发出去和留在本地是两回事。留在本地你还能反悔，发到群里、发到平台上、发到别人的收件箱里，就没有撤回键了。发布类命中 90 个（39 + 22 + 16 + 13），在三类里排头一位。

一个可以直接抄的检查动作

不用逐个读文档。把下面这段贴到任意 AI 对话里，让它替你扫：

我本机有这些 AI 技能的说明文件（目录见下）。请逐个读，判断每一个是否具备以下三类能力： ① 花钱类：支付、下单、订阅续费、报销、退款 ② 发布类：把内容发到外部平台、群发、发消息 ③ 删除类：删除文件、卸载、清空目录、覆盖写  对每个命中项，请输出：技能名、命中类型、文档里是否有确认/授权/二次确认字样（是/否）、 撤回路径是否存在（是/否/未说明）。收尾按「三类全中且无确认字样」筛出优先复核清单。 不要改任何文件，只做只读判断。

我自己的做法是分两步：先用关键词扫出候选，再只对命中的那些读全文。364 份全读不现实，先筛到 151 再逐个过，一小时能过完。

一个补充口径：把「撤回路径」单独列出来，是因为很多文档会写「需确认」却不写「确认之后怎么退」。写了确认等于让你以为有刹车，实际没有的话，那句「需确认」反而是最危险的那句。

该删哪些

我自己的取舍标准只有一条：三个月没打开过的、文档里没有撤销路径的、命中三类里任意一类的，直接停用。停用不是删除，先把名字记下来，观察一周有没有任务真的断了，断了再看要不要装回来。

停用比删除安全。删除之后如果要恢复，你得重新找下载源，那期间的任务就是真空状态。

顺手做的一件事：给还在用的那些补一句人话注释，写清「这个会花钱」或者「这个会发出去」。下次你或者别人再打开这份清单，不用重新读三百页文档。

声明

上面这组数字来自 2026-10-05 对本机 364 份 SKILL.md 的静态扫描，脚本在 _scripts\skill_danger_audit_20261005.py，口径与判定式都写在正文里，可自行复跑核对。关键词匹配会存在误召与漏召，数字是能力上界而非实测发生次数。文中不涉及任何具体产品的收费金额或服务条款，也没有任何实测外的推断。

这套检查跟清单里那些工具本身无关——它查的是文档里写了什么，不是运行时做了什么。文档和实现对不上的情况真实存在，这也是为什么我只把结果当上界看。

如果想把这套检查固化成流程，可以把你的技能目录换成自己的路径重跑一遍，替换掉 roots 里的两个目录名就行。

关注我，后面会继续把这类「看得见的数字」拆开讲。