把开源 Skill 装进 AI 助手,安全这道关怎么过?

很多人以为 Skill 是个「插件」，点一下就装。其实一个 Skill = 一份给 AI 看的指令（SKILL.md）+ 可能附带的一段会在你电脑上执行的脚本。它有能力读文件、发网络请求、执行命令。

换句话说，装一个来路不明的 Skill，等于请一个没见过的人坐到了你的终端前。这就是典型的供应链风险：你信任的助手，可能因为你装了坏东西，变成攻击入口。

三类最该警惕的风险：

github-skill-installer 的定位，就是把「装 Skill」从玄学变成标准动作，而安全是它的第一道闸门，且不可跳过。整个流程 10 步，安全相关的占了 3 步（装前审计、装后体检、许可证留痕），外加交付时的透明告知。

流程会对仓库里所有 .md / .yaml / .txt 和脚本跑一轮危险模式扫描，关键词覆盖 curl、wget、token、api_key、eval、exec、subprocess、os.system、rm -rf、base64、password、secret、.env 等；同时用 find 揪出可执行文件（.sh / .ps1 / .bat / .py / .js / .exe）和隐藏文件。

光扫还不够——有脚本时必须真的读一遍再判级，不能只看文件名。像 Pillow 图像合成、argparse 工具脚本这类纯本地处理，通常仍是低风险。

判级与处置分三档：

关键在「显式确认」：P0 不会悄悄放行，必须你亲自点头；P1 会把「它到底要干什么」讲明白再问你。安全结论不是 AI 替你拍板，而是交给你拍板。

过审计只是第一步。装完，工具会自动对新装的 Skill 再跑一次本地安全体检，复用 edgeone-clawscan 的 WorkBuddy 适配版，默认本地模式、零外联。

三项体检：

1. 外部请求声明数（含 URL）——它声明要连哪些外部服务； 2. 脚本危险模式命中——二次扫描可执行脚本里的危险调用； 3. 隐私自评——是否声明访问 ~/Desktop、~/Documents、凭证路径、聊天记录等敏感位置。

为什么这不是多此一举？因为装前审计是「快照」，只看你下载那一刻的文件。而真实威胁常发生在「装好之后」：作者悄悄更新仓库往里塞恶意代码、或依赖被投毒。装后体检把这道缝补上。本地的静态分析查不到的云端威胁情报，由 ClawScan 的云端复检补位（需你开启 AIG 云端查询）。

扫描阶段任何明文 api_key / token / secret / password 都会高亮。更关键的是交付规则：私钥、AppSecret、access token、真实素材 ID 绝不写进 Git。

本地用「环境变量 + 私有 env 文件」分层加载（secrets/wechat.env → .env.local），且不会覆盖你已经设好的变量。一句话：密钥只在你本机，不跟仓库走。

第三方 Skill 的许可（MIT / AGPL / 个人非商用）会被抓取记录：作者、来源 owner/repo、版本 commit、license 类型、商用约束，写进交付清单。

个人使用场景不阻断安装，但「禁商用 / 禁改名重打包 / 禁作为市场商品分发」这类约束会如实转达——不替你换许可，也不替你担版权风险。

github-skill-installer 是「流程级」安全。它下面还有一层「平台级」安全：WorkBuddy 的沙箱 + 外部调用授权闸门，确保 agent 不能偷偷调未授权服务。两层叠加，才是「装得安全」的完整含义。

1. 看来源：优先高 star、作者可信的仓库，来源不明直接跳过。 2. 看审计：P0 级别别硬上，P1 要弄清它到底要干什么。 3. 密钥不外泄：凭证走环境变量，别粘进 Skill 文件或提交 Git。 4. 更新要复检：装完不是终点，作者一更新就重新跑体检。 5. 触发词不冲突：装得多就跑一轮冲突自检，别让一句话调错对象。 6. 用户级私有：个人 Skill 落 ~/.workbuddy/skills/，不污染项目仓库。 7. 保持流程：别回到「下载 → 丢目录 → 祈祷能跑」的野路子。

安全不是装完就忘的事。github-skill-installer 把「审计 — 体检 — 留痕 — 告知」四件事钉进流程，让每一次安装都可解释、可回放、可问责。GitHub 上好东西很多，但能不能放心装进自己的助手，靠的是流程而不是运气。

笔者长期折腾 AI 助手与 Agent Skill。文中提到的 github-skill-installer 是把「从 GitHub 安全装 Skill」流程化的开源工具。欢迎到 GitHub 找我交流：github.com/Maliki。