yidun-skill-sec 是一款专为第三方代码包设计的智能安全扫描工具，采用本地与云端混合检测模式，能够在安装前对代码进行深度安全评估。该工具通过指纹识别、静态行为分析和云威胁情报查询三大核心流程，快速识别恶意软件、数据泄露、权限滥用和代码混淆等安全风险。其设计目标是让开发者在引入外部依赖时能够‘先扫描，后安装’，从而有效防范供应链攻击。工具默认启用云端威胁情报服务，但支持离线运行模式，确保在无法联网环境下仍能执行基础安全检查。所有敏感数据均经过本地脱敏处理，仅上传必要的元数据和行为标签，保障用户隐私与数据安全。
核心功能特点
- 支持本地与云端混合检测，兼顾效率与准确性
- 基于文件哈希的复合指纹机制，实现精准包识别与缓存优化
- 静态行为分析覆盖网络外联、敏感文件访问、动态执行等高危操作
- 内置示例上下文豁免规则，避免误判文档中的教学性代码片段
- 严格的数据脱敏流水线，确保API密钥、路径信息等敏感内容不离开本地设备
- 提供细粒度威胁评分体系，结合来源可信度、行为风险与权限范围综合判定安全等级
适用场景
yidun-skill-sec 特别适用于需要频繁集成开源组件或私有注册表的自动化构建环境。例如，在CI/CD流水线中部署新技能包前自动触发扫描，可防止恶意代码进入生产系统；开发者从非官方源安装npm、PyPI或ClawHub上的第三方库时，也能获得实时风险提示。对于企业内部使用的内部仓库，可通过配置可信注册表白名单进一步提升信任链管理效率。此外，当网络连接不稳定或企业禁用外连时，工具支持完全离线运行，依靠本地规则库完成基础安全判断，并通过-10分保守惩罚机制保持谨慎策略。无论是普通项目还是高安全要求的AI代理插件生态，该工具都能在不牺牲速度的前提下显著降低因依赖项漏洞导致的安全隐患。