Skill Vetter 是一款专为 AI 智能体设计的**安全优先的技能审查工具**，旨在帮助用户在安装来自 ClawdHub、GitHub 或其他来源的第三方技能前进行系统性安全检查。其核心理念是：**绝不安装未经审查的技能**，无论该技能声称具备多么强大的功能。该工具通过一套标准化的四步审查协议，从技能来源、代码内容、权限范围到风险等级进行全面评估，确保只有真正安全的技能才能被部署到生产环境中。Skill Vetter 不仅适用于个人开发者，也特别适合团队协作场景，可作为内部安全策略的一部分，强制要求所有新技能必须经过统一的安全审查流程。它强调‘宁可过度审查，也不冒险妥协’的原则，将网络安全置于一切操作之上。
核心功能特点
- 提供标准化的四步安全审查流程：来源验证、代码审查、权限评估与风险分类
- 自动识别并标记多种高危行为，如向外部服务器发送数据、请求凭据或执行 eval/exec 命令
- 支持 GitHub 和 ClawdHub 等主流平台技能源的快速审查，集成 API 查询功能
- 输出结构化审查报告，包含红标项、所需权限、风险等级及最终安装建议
- 内置信任层级机制，对官方技能、高星项目、已知作者等不同来源实施差异化的审查强度
适用场景
Skill Vetter 最典型的使用场景是在安装任何第三方 AI 技能之前进行前置安全审查。例如，当你在 ClawdHub 上发现一个声称能自动整理文件的实用技能时，应先运行 Skill Vetter 检查其是否尝试访问 ~/.ssh 目录或修改系统配置文件。另一个常见场景是从 GitHub 仓库手动部署技能时，尤其是那些由匿名开发者维护的项目——此时需重点审查其代码中是否存在 curl 调用未知 URL 或 base64 解码可疑内容的行为。对于企业或组织内部的 AI 代理管理，Skill Vetter 可集成至 CI/CD 流程中，在技能上线前自动触发扫描，防止高风险代码进入正式环境。此外，在接收其他智能体共享的技能文件时（如通过 .zip 包），也应立即启动审查程序，避免因信任传递而引入安全隐患。总之，只要涉及外部代码的执行，就应当使用 Skill Vetter 进行尽职调查。