SkillSpector: NVIDIA's Open-Source Security Scanner for AI Agent

CC Switch：终极 AI 编码代理管理器 • Semgrep：可查找 500 多个漏洞的 15K-Star SAST 工具 SkillSpector 是一款专门为 AI 代理技能设计的安全扫描工具 - 为 Claude Code、GitHub C 等框架提供支持的模块化插件和扩展opilot、Codex CLI 和 Gemini CLI。它由 NVIDIA 开发，拥有 10,273 个 GitHub 星，解决了在生产环境中安装未经审查的代理技能所带来的日益严重的安全问题。

本文涵盖安装、扫描功能、漏洞检测、与代理框架的集成以及保护 AI 代理生态系统的最佳实践。

长篇大论；博士 #

随着人工智能代理技能变得越来越流行，安装未经审查的安全风险也随之增加。 SkillSpector 提供自动扫描 800 多种网络安全技能，在漏洞、恶意模式和安全风险到达您的系统之前对其进行检测。它支持所有主要代理框架并提供可行的修复指导。

什么是 SkillSpector？ #

SkillSpector 的诞生源于一项重要的观察：随着 AI 代理技能在开发人员工作流程中的激增，安全范围也急剧扩大。与经过严格代码审查的传统软件包不同，许多代理技能是简单的文本文件 (SKILL.md)，指示 LLM 执行任意操作 - 包括执行 shell 命令、访问 API 和修改文件。

该工具提供：

• 针对 AI 代理技能文件的自动漏洞扫描
• 基于模式的恶意行为检测，包括命令注入、数据泄露和权限提升
• 针对 Claude Code、GitHub Copilot、Codex CLI 等的 特定于框架的分析
• 补救指导与特殊针对检测到的漏洞的具体修复
• CI/CD 集成，用于自动化管道中的预安装扫描

安装指南 #

先决条件 #

• Python：3.12+（异步扫描功能所需）
• 操作系统：Linux、macOS 或 Windows WSL2
• 磁盘空间：500MB 用于扫描仪 + 技能数据库
• 网络：下载技能数据库和更新所需

选项 1：Pip 安装 #

一个
s
小时
# 从 PyPI 安装 SkillSpector
pip 安装技能

#验证安装
技能观察--版本

# 下载最新的技能数据库
Skillspector 更新数据库

选项 2：来自源头 #

一个
s
小时
# 克隆存储库
git 克隆 https://github.com/NVIDIA/SkillSpector.git
cd 技能分析仪

# 创建虚拟环境
python -m venv .venv
源 .venv/bin/activate

# 以开发模式安装
pip install -e 。

# 初始化扫描仪
Skillspector init --下载数据库

选项 3：Docker 部署 #

一个
s
小时
# 拉取官方im年龄
docker pull nvcr.io/nvidia/skillspector: 最新

# 运行扫描
docker 运行 --rm \
  -v ${PWD}/技能: /app/技能 \
  nvcr.io/nvidia/skillspector: 最新 \
  扫描/应用程序/技能

# 安排定期扫描
docker 运行 -d \
  --name Skillspector \
  -v ${PWD}/技能: /app/技能 \
  -v ${PWD}/reports: /app/reports \
  nvcr.io/nvidia/skillspector: 最新 \
  守护进程--间隔 3600

扫描功能 #

漏洞检测类别 #

SkillSpector 检测多种类别的漏洞血腥：

|类别 |描述 |严重程度 | | 加入社区：Telegram · HuggingFace

内部链接：nvidia-cosmos-world-models-platform-2026 · bytedance-ui-tars-desktop-ai-agent-guide

披露：本文提到的工具可能具有附属关系。我们不接受付费评论。所有意见都是我们自己的。