Agent 技能发布前，如何检查指令与外传风险

AI Craftbook 团队介绍了 Agent 技能发布前的安全审查：检查指令覆盖、隐瞒行为、凭据窃取、数据外传和远程执行风险，并用恶意测试文件展示拦截结果。目前拿到的原文节选主要覆盖第一层扫描，后续流程尚不完整。

目前能确认什么

SKILL.md 是纯文本，但 Agent 会把它当作指令。拥有 shell 权限时，「读取文件并发送出去」就可能变成实际操作。因此，审查对象不能只有代码，还要包括文字指令。

作者的扫描器只读取传入内容，不执行、不导入、不求值，也不联网获取待扫描内容。它主要用正则匹配已知风险，同时检查隐藏的 HTML 注释、解码后的 Base64 内容，以及名称近似热门包的依赖。

他们团队构造的测试文件包含窃取 SSH 私钥、要求隐瞒操作、覆盖已有指令和下载脚本执行等内容。扫描后，发布策略将其阻止；文件自行声明的 status: approved 没有改变结果。

删掉下载执行步骤后，文件仍需人工审查。测试中 gitleaks 返回干净，也没有抵消指令扫描发现的风险。

我的判断

没有检出密钥，不代表技能不会窃取密钥。

对接入第三方技能的程序员，这个区别很实用：文件里可以没有任何真实凭据，却指示 Agent 去本机寻找。审查时，应追踪它要求读取哪些路径、向哪些地址发送数据，以及是否要求隐藏行为。Markdown 页面看不见的注释，也属于检查范围。

扫描通过，只能说明没有命中已知模式。

正则适合筛查明确攻击语句，无法据此证明整份技能安全。节选尚未完整展开后续审查层，也没交代如何处理跨文件组合指令等情况，不能把这里的扫描器等同于完整防护方案。