AI 插件别乱装：从下载到上线，中间还差五

最近 Agent 插件挺火，一键安装听着爽，但真不能拿到 ZIP 就解压执行。

一个“总结会议记录”的 Skill，脚本里可能悄悄读取整盘文件；一个“搜索公司文档”的 MCP Server，也可能把请求发向外网。名字、描述和下载量，根本证明不了它运行时到底在干嘛。

所以企业想管好这些插件，得先拆成三层：发现层只记信息，控制层管审批和撤回，运行层才真正加载代码。而且签名只能证明包没被篡改，官方目录也只是个元数据目录，都不等于安全背书。

具体落地得过五关：发布者提交时压包、申报权限并签名；市场校验结构，拦住路径穿越等攻击；人工审核内容、依赖和权限；部署员再次验签，隔离安装并记录版本；最后还得备好回滚和紧急撤回。

我做了个离线参考项目，把这整条信任链跑通了。9 项测试覆盖了签名篡改、未知发布者、路径穿越等场景。不过这只是个演示，生产落地还得补上 SSO 身份、沙箱和密钥管理。