下载的 AI 技能安全吗？安装前先扫风险

看到一个好用的 Skill，别急着让它执行。先检查有没有外传数据、读取密钥、可疑指令或危险依赖，能帮你在安装前多做一道判断。

NVIDIA 的 SkillSpector 就是做这件事：扫描仓库、文件夹或 SKILL.md，给出风险发现、分数和建议。它不运行被扫描的 Skill；可先用 --no-llm 做静态检查，再结合代码、权限和来源决定要不要装。

扫描结果不是绝对安全保证，也不是运行沙箱。启用模型分析时，符合分析范围的文件内容可能发给配置的模型服务；静态模式也可能向 OSV 查询依赖名称和版本。私密材料先看数据去向，低风险分也别当免检通行证。

#AI安全 #Agent技能 #安全扫描 #开源工具 #数据安全 #NVIDIA