为省那 10 分钟，它就能偷翻你的环境变量、把 API 密钥悄没声地捅出去。有研究讲，大概四分之一的公开 skill 带着漏洞，还有一小撮压根就是奔着使坏来的。
SkillSpector 专门收拾这个——装之前先过一遍：
1️⃣ 静态快扫，专揪凭据窃取、数据外泄、提示词注入，还实时比对 CVE
2️⃣ 可选再上 LLM 分析意图，把误报筛掉
末了甩你一个 0-100 的风险分，外加一句话定论：能装、掂量着来、还是碰都别碰。Apache 2.0，认 Claude Code、Codex、Gemini。
下回装 skill 之前，真心劝你先跑一趟。
🔗 https://github.com/NVIDIA/SkillSpector