一个完全透明、完全按说明工作的 Skill，同样可能把素材发往外部、用企业 Key 访问第三方、对系统做写操作。它不“恶意”，却足以越过企业的准入边界
从“它是不是恶意”，到“它被启用后会让 Agent 获得什么、触达什么、改变什么”。
不再是二元的 safe / malicious，而是 block / need_review / pass——把“合法但高影响”与“确认恶意”彻底分开。
覆盖输入可见性、指令与运行时执行、Agent 权限与身份、数据与记忆、资产成本与现实动作、滥用规避、供应链生态。
不因出现关键词就阻断，而按证据强度分层——从说明级提及，到命令配置、可执行链路，直至运行时持久化。
从构建文件乃至自然语言安装意图中抽取依赖候选，与投毒情报库做版本级比对，堵住传统工具漏报路径。
每一条结论都带精确到行号的证据与处置建议，可审计、可复核，杜绝“关键词命中即下结论”。
三级判定可直接嵌入 CI/CD 与 Skills 市场准入，导出 JSON 直连 SCA/SBOM、IAM/DLP、SIEM/SOAR 与工单。
解析 Skill 清单与实现，还原其真实能力边界——文件、网络、命令执行、密钥访问，并标记高危能力。
从 SKILL.md 与实现提取真实权限。
识别声明之外的隐藏能力。
命令执行、密钥读取等优先告警。
比对依赖来源与命名特征，识别仿冒包（typosquat）、被劫持版本与恶意注入，命中即拦截告警。
捕捉近似命名的 typosquat 包。
校验发布者与版本完整性。
命中即告警并阻断引入。
以“Skills-for-Skills”的思路，让审计流程本身可动态加载与扩展。
基础静态扫描，排除明显恶意样本，相当于传统 SAST/SCA 覆盖的部分。
把 SKILL.md 的自然语言描述与实际代码行为做语义对齐，检测“说一套做一套”。
结构化标签与证据分级评估单 Skill，并识别多 Skill 协同涌现的攻击链。
AI Agent 的 Skill 生态存在提示注入、数据外传、供应链投毒等风险。SkillSec 对 Skill 进行准入级安全审计，回答“它被启用后 Agent 将获得哪些需要审批的能力”。
恶意检测只回答“是否恶意”；SkillSec 升维到能力审计——即使完全善意的 Skill 也可能外传机密、以企业凭证触达第三方。审计覆盖 7 大风险域、30+ 结构化标签、E1–E5 证据分级。
输出 block / need_review / pass 三级判定，证据链精确到 SKILL.md 行号，可直接作为企业 AI Agent Skill 上架与启用的准入卡点。
支持 Claude Skills、MCP 等主流 Agent 扩展生态的清单审计与行为分析。
不需要。以静态分析为主——同时解读 SKILL.md 等自然语言声明与脚本实现，核对两者一致性，无需在生产环境执行即可给出判定。
作为 Skill 上架与启用前的准入卡点：接入内部 Skill 市场或 Agent 平台的审批流，block / need_review / pass 三级判定直接驱动审批动作。
可以。无论来自公开市场还是内部开发，提供 Skill 包即可审计，帮助在发布前发现能力越界与“声明-实现不一致”问题。
