给智能体装插件前，先想想手机流氓软件

给智能体装插件，正变成当年安卓市场的乱局。这次流氓软件还会自己干活。

安全公司查了 ClawHub 这个技能市场。2857 个技能里，341 个是恶意的。更吓人的是，335 个出自同一伙人。他们批量上架记账、行情追踪工具，暗里全塞同一种窃密木马。密码、加密钱包、聊天记录一锅端。

发布门槛低得离谱。只要 GitHub 账号满一周就能发，没身份核验，也没代码审计。比 2010 年的安卓第三方市场还松。

钩子就藏在说明书里。它写得比正经项目还认真，功能、配图齐全。然后在“前置条件”里放一句：使用前请先运行这条命令。你照做，AI 也照做——那行命令就是木马本体。

一篇论文扫了近十万个技能，发现漏洞八成藏在 SKILL.md 文字里，不在脚本里。“装前先看代码”这招直接失效。你不会细看说明书，就算看了，一句“请先安装依赖”混在几十行正常说明里，也读不出攻击。

而且技能还会中途变脸。上架时干干净净，过了审核，两周后改一版，你确认过的东西已经变了。到第二轮审计，恶意技能翻倍到 820 多个。

跟 npm 投毒不是一个量级。npm 顶多炸构建产物，技能却直通本地凭证和整个代码库。一句话：技能就是提示词，提示词就是权限。

装之前过三条：只从人工审核的市场或白名单装；查天气的技能张口要读 SSH 密钥，一律不装；引用外部内容的，锁定哈希或复制进仓库。

十年前我们学会了不从不明渠道装应用。十年后，同样的功课要再学一遍——只是这次要防的，是一段写给 AI 看的说明书。