朱雀 Skill 安全扫描器v1.0.0

免责声明：本站部分 Skill 来源于公开渠道，使用前请注意识别相关风险，内容版权归原作者所有，如 Skill 涉及版权问题，请在线反馈，核实后予以下架处理。

概述

腾讯朱雀实验室 A.I.G 出品的 Skill 安全扫描器，专为 Agent 平台生态设计，帮助用户在不执行任何代码的前提下，对本地安装的 Skill 包进行静态安全审计。支持全盘扫描（Mode A）与单文件深度审计（Mode B）两种模式，自动适配 OpenClaw、Cursor、CodeBuddy、Windsurf、Claude Code 等主流平台的技能发现逻辑。扫描聚焦真实可达的代码路径，重点识别凭证外泄、后门持久化、权限越界、隐私数据窃取、硬编码密钥及 LLM 提示注入（含 Base64/Unicode 隐藏编码）等中高危风险，最终按统一模板输出多语言、带修复建议的结构化报告，让非技术用户也能读懂安全结论。

技能包含

• SKILL.md（本文件）：技能主说明，含双模式扫描工作流、本地审计规则与强制输出模板
• _skillhub_meta.json：Skill 包元数据

核心能力

• 双模式智能触发：根据用户意图自动选择「全盘扫描」或「单 Skill 审计」，无需手动指定模式
• 多平台技能发现：内置 OpenClaw、Cursor、CodeBuddy、Windsurf 等平台的技能枚举策略，覆盖用户目录与系统内置技能
• 静态只读审计：全程本地文件读取，不执行 Skill 代码，不上传任何数据至外部
• 风险分级与归因：区分「敏感能力」与「恶意滥用」，仅报告 Medium+ 且真实可达的风险，避免误报
• 多语言强制输出：自动锁定用户输入语言，全报告（含表头、标签、结论）统一渲染，不混入其他语言
• 标准化报告模板：固定结构输出（判定图标 → 检查表/描述 → 发现项 → 结论建议 → 页脚），禁止自由发挥

应用场景