（9847期）Skill Vetting – 官方 Skill 安全审查与风险扫描工具

官方 Skill 安全审查与风险扫描工具 ClawHub 官方安全扫描工具，专用于审查第三方 Skill 的代码安全与实用价值，内置 AI 提示词注入防护机制。 使用说明 核心用法 skill-vetting 是 ClawHub 平台官方提供的安全审查工具，用于在安装第三方 Skill 前执行静态代码分析与风险评估。用户通过 CLI 下载目标 Skill 至临时目录，运行内置扫描器检测危险代码模式，结合人工审查 SKILL.md 和脚本内容，最终依据安全-效用决策矩阵判断是否安装。 显著优点 防御性安全架构：SKILL.md 中嵌入完整的 AI 提示词注入防护指南，明确禁止审查者受 Skill 内文本操控，体现对抗性安全思维 零依赖设计：扫描脚本仅使用 Python 标准库，彻底规避供应链攻击风险 自动化+人工双轨制：Regex 模式扫描覆盖常见恶意特征，同时强制要求人工理解代码语义，弥补静态分析的固有局限 决策框架清晰：提供明确的红线规则（如检测到 prompt_injection 立即拒绝）和分级评估矩阵，降低主观判断失误 潜在局限 静态分析可绕过：文档明确承认 getattr、importlib、globals() 等动态执行手法可规避当前正则模式 语义级攻击盲区：无法检测纯文本形式的 AI 操控指令、时间延迟激活、条件触发逻辑炸弹等高级威胁 无动态沙箱：缺乏运行时行为监控，仅能分析代码表象而非实际执行路径 来源透明度不足：虽为平台官方工具，但未开源托管，社区审计机制缺失 适合人群 频繁安装第三方 Skill 的 ClawHub 高级用户 企业安全团队进行预安装合规审查 对 AI 供应链安全有认知的技术决策者 常规风险 过度依赖自动化：用户可能忽视 "scanner limitations" 警告，误判清洁扫描结果为绝对安全 社会工程抗性：审查者自身需具备识别提示词注入的意识，工具无法替代人的批判性思维 版本滞后风险：恶意模式库需人工更新，新型绕过技术可能存在检测窗口期 原始说明 Vet ClawHub skills for security and utility before installation. Use when considering installing a ClawHub skill, evaluating third-party code, or assessing w...