Skill Scanner CLI用法清单scan、scan-all、scan-repo三大命令与交互向导实战【免费下载链接】skill-scannerSecurity Scanner for Agent Skills项目地址: https://gitcode.com/gh_mirrors/sk/skill-scannerSkill Scanner 是一款专为 AI Agent Skills智能体技能包打造的安全扫描器能快速检测提示词注入、数据外泄、恶意代码等常见威胁。本文带你快速上手它的核心 CLIscan、scan-all、scan-repo三大命令外加一个傻瓜式交互向导interactive看完即可在 5 分钟内完成第一次技能包安全体检。一键安装3 分钟跑通第一次扫描Skill Scanner 基于 Python3.11–3.14一条命令即可安装pip install cisco-ai-skill-scanner安装完成后直接运行内置的示例技能包验证环境——项目自带一套测试技能evals/skills/safe-skills/simple-math 等非常适合练手# 扫描单个技能 skill-scanner scan evals/skills/safe-skills/simple-math # 扫描整个目录非递归 skill-scanner scan-all evals/skills --format table安全技能的输出干净利落 Skill: simple-math Status: [OK] SAFE Max Severity: SAFE Total Findings: 0 Scan Duration: 0.12s而开启行为分析后扫描恶意样本则能准确捕获数据外泄、凭证读取等问题Status: [FAIL] ISSUES FOUND Max Severity: CRITICAL Total Findings: 11 CRITICAL: 3 / HIGH: 3 / MEDIUM: 4 / LOW: 1scan单技能深度扫描的常用开关skill-scanner scan 技能目录是最常用的命令默认运行静态 字节码 管道 关联四组核心分析器无需任何配置。想加深度时按需追加开关即可场景推荐命令说明快速本地检查skill-scanner scan ./my-skill默认分析器秒级出结果疑似第三方技能追加--use-behavioral --policy strict启用数据流行为分析 严格策略高置信度研判追加--use-llm --enable-metaLLM 语义分析 误报过滤需 API Key多格式报告追加--format markdown --format sarif一次运行产出多份报告三个高频参数值得记住--use-behavioral开启数据流行为分析可发现读取凭证 → 编码 → 外发这类组合攻击链--policy strict策略预设支持strict严、balanced均衡默认、permissive宽三档--lenient宽容模式可扫描缺少SKILL.md的非标准技能如.claude/commands/*.md。scan-all多技能目录批量扫描与 CI 门禁当你管理一个技能库时scan-all可以一次扫完整个目录# 递归扫描 发现高危问题即失败适合 CI skill-scanner scan-all ./skills --recursive --fail-on-findings两个专属参数--recursive可简写-r递归查找所有技能包--check-overlap交叉检测各技能描述的重叠识别关键词堆砌式的技能投毒。关于退出码的约定非常清晰是接入 CI/CD 的关键0命令成功或未触发失败条件1运行出错或启用--fail-on-findings后存在 CRITICAL/HIGH 级别发现。也可以用--fail-on-severity medium自定义阈值例如中危及以上即阻断构建。scan-repo免克隆远程仓库一键扫描scan-repo是最省心的命令只需给出仓库地址owner/repo简写或完整 URL它会自动克隆到临时目录、扫描其中所有技能结束后自动清理# 默认就是递归扫描 skill-scanner scan-repo owner/skills-repo # 输出 SARIF 报告 高危阻断 skill-scanner scan-repo owner/skills-repo --format sarif --output report.sarif --fail-on-findings它支持--recursive默认开启--no-recursive可关、--check-overlap等与scan-all相同的参数。如果仓库里一个技能都没找到命令会以退出码 1 结束并提示 No skills found to scan。交互向导 interactive不记命令也能配出专业扫描对参数感到头晕直接运行不带子命令的skill-scanner或显式写skill-scanner interactive即可启动交互式向导实现位于 skill_scanner/cli/wizard.py自动探测环境检测 LLM / VirusTotal / AI Defense 的 API Key 是否已配置并扫描当前目录下常见的技能目录skills/、.cursor/skills/、.codex/skills/等选择动作单技能扫描、批量扫描、策略配置器、分析器列表、生成策略文件5 选 1挑选目标自动列出的技能直接按序号点选也可输入自定义路径勾选分析器区分免费行为分析、OSV 依赖漏洞扫描与需 API KeyLLM、VirusTotal、AI Defense两组选择策略balanced/strict/permissive三档预设附中文式说明设置输出6 种格式任选可保存为文件配置 CI 门禁按需设置失败严重度阈值确认执行向导会把你的选择实时拼成一条完整命令并高亮预览你可以选择直接运行、复制命令、改路径或退出。这个所见即所得的设计非常适合新手走完一遍向导你其实就学会了手写专业扫描命令。✨输出格式速查6 种格式各有所长格式适用场景summary默认终端快速查看jsonCI/CD 解析、二次加工markdown人类可读报告配合--detailed附完整证据table终端表格多技能总览sarif接入 GitHub Code Scanninghtml交互式报告方便分享一个命令可同时输出多种格式例如--format markdown --format sarif。避坑指南新手最常见的 4 个问题No findings 不等于绝对安全扫描器是最佳努力检测无发现仅代表未命中已知威胁模式高风险技能仍需人工复核LLM 分析需要密钥--use-llm前需设置SKILL_SCANNER_LLM_API_KEY和SKILL_SCANNER_LLM_MODEL否则该分析器会失败策略调优误报多就换permissive追求高召回用strictskill-scanner configure-policy可用图形化 TUI 生成自定义策略查看可用分析器任何时候skill-scanner list-analyzers都能列出当前可启用的分析引擎。延伸阅读快速入门指南从安装到出报告的最小路径CLI 用法详解常见工作流与退出码行为CLI 命令参考全部参数的完整手册核心命令实现skill_scanner/cli/cli.py实战示例examples/basic_scan.py记住三句话单个技能用scan技能库用scan-all远程仓库用scan-repo拿不准参数就运行交互向导skill-scanner interactiveCI 里加上--fail-on-findings让高危技能自动阻断流水线。【免费下载链接】skill-scannerSecurity Scanner for Agent Skills项目地址: https://gitcode.com/gh_mirrors/sk/skill-scanner创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考