NVIDIA 开源 SkillSpector：给 AI Agent 的技能做安全扫描，覆盖 64 种漏洞模式

NVIDIA 开源了 SkillSpector，一个 AI Agent 技能安全扫描器，可检测 64 种漏洞模式。这条补的是 Agent 生态里一个明显的空白。

为什么需要它

Agent 的能力来自技能（skill），而技能本质上是能执行代码、能访问文件、能发网络请求的插件。来源五花八门，多数没有经过安全审查。

装一个技能，等于给一个陌生程序开了你这台机器的部分权限。这个风险在 Agent 普及过程中被严重低估。

64 种漏洞模式大概包含什么

按常规分类：命令注入、路径穿越、任意文件读写、未校验的网络请求、凭据硬编码、权限提升、不安全的反序列化、供应链投毒。

Agent 技能的特殊风险在于「提示注入 + 工具调用」的组合：一段恶意文档能让 Agent 去执行危险动作，而传统扫描器不理解提示词层面的攻击。

当前生态的问题

技能市场缺少准入门槛。一个技能几十行代码，用户装上就用，没人看内容。这和小程序早期的状况类似，后来靠平台审核与沙箱解决。

开源扫描器是第一步，能给出可复现的检测结果，比「请放心使用」的声明有用。

自己该怎么防

一，非必要不装技能，尤其是不知名的。

二，装之前看代码，重点看它执行什么外部命令、读哪些路径、往哪发请求。

三，跑在隔离环境里。容器、独立用户、最小文件系统权限。

四，给凭据分级。Agent 用的密钥只给该用的权限，别复用主账号。

一句实话

扫描器能挡住已知模式，挡不住逻辑上有问题的设计。真正的防线是权限最小化，这一条永远成立。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

技能市场缺准入门槛，几十行代码装上就给权限。提示注入加工具调用的组合，传统扫描器根本看不懂。说到底权限最小化这条永远成立。

技能扫描补的确实是空白。装技能等于给陌生程序开权限，但现在的分发渠道基本没有签名和来源校验。六十四种模式里我更关心间接注入那类：技能读到的网页里藏指令，再被 Agent 当成用户意图执行。这类静态扫不出来，得靠运行时隔离上下文来源。

装一个技能等于给陌生程序开机器部分权限，这个风险在 Agent 普及里被严重低估。SkillSpector 覆盖 64 种漏洞模式补的是生态空白，但光扫描不够，最好和安装环节强绑定，装包前自动过一遍，发现风险直接拦。我们内部也在定技能准入清单，来源不可信的技能一律隔离沙箱跑。

装一个技能等于给陌生程序开机器部分权限，这个风险在 Agent 普及里被严重低估。SkillSpector 覆盖 64 种漏洞模式补的是生态空白，但光扫描不够，最好和安装环节强绑定，装包前自动过一遍，发现风险直接拦。我们内部也在定技能准入清单，来源不可信的技能一律隔离沙箱跑。