核心用法
skill-audit 是一套完整的链上技能溯源与验证系统，主要提供四大核心功能：
1. 技能溯源查询 (/check-skill)：在安装技能前，查询其链上注册信息、审计历史和社区担保评分，获取可信等级徽章（MALICIOUS/FLAGGED/CAUTIONED/VERIFIED/AUDITED/REGISTERED/UNKNOWN）。
2. 技能注册 (/register-skill)：将本地技能提交至链上注册表，生成SHA-256内容哈希，建立不可篡改的来源证明。注册为公开操作，任何人均可执行。
3. 安全审计 (/audit-skill)：持有IQ token的专业审计者可提交安全评级（S/L/M/H/C五级严重度），覆盖目录遍历、加密缺陷、权限提升、社会工程、技术债务等14个风险类别。
4. 社区担保 (/vouch-skill)：用户可通过1-5分评分对技能进行背书，形成去中心化的信任网络。
显著优点
去中心化信任机制：摆脱对单一中心化平台的依赖，技能可信度由链上审计记录和社区担保共同决定，数据不可篡改且完全透明。
零成本查询：所有读操作（溯源查询）完全免费，仅需RPC连接无需钱包签名，大幅降低用户验证门槛。
专业审计激励：IQ token门槛设计确保审计者具备一定投入成本，减少恶意审计，同时通过token经济激励高质量安全评估。
内容完整性保障：SHA-256哈希比对可即时检测技能内容是否与注册版本一致，有效防范供应链投毒和静默更新攻击。
模块化SDK支持：提供完整的JavaScript SDK (@rocketlabs/skill-audit)，支持CommonJS环境，便于集成到现有Agent工作流。
潜在缺点与局限性
区块链成本门槛：注册、审计、担保等写操作需要支付Solana交易费用，且审计功能额外要求持有IQ token，可能限制小额开发者参与。
审计覆盖延迟：新发布技能可能长期处于"REGISTERED"或"UNKNOWN"状态，缺乏审计记录时用户难以判断安全性。
链上存储限制：单条记录约100字节限制，完整审计报告需通过codeIn铭文链外存储，增加架构复杂度。
生态依赖风险：该技能本身依赖@iqlabs-official/solana-sdk和@solana/web3.js等外部包，存在供应链攻击可能。
不可逆操作风险：链上记录永久公开，误操作或恶意注册无法撤回，需用户谨慎确认。
适合的目标群体
- Agent开发者：需要为自有技能建立链上可信背书，提升用户安装意愿
- 安全审计师：持有IQ token的专业人员，可通过审计服务获取生态声誉
- 企业级用户：对技能供应链安全有严格要求的组织，需验证第三方技能来源
- DeFi/加密领域Agent：已在Solana生态有资产布局，熟悉链上交互的用户群体
- 技能市场运营方：构建去中心化技能商店的平台方，需集成可信验证层
使用风险与注意事项
交易费用波动：Solana网络拥堵时交易费用可能上升，批量操作前建议确认费用预估。
测试网验证缺失：报告建议devnet先行验证，但技能本身不强制区分网络环境，用户需自行确认RPC端点配置。
IQ token获取门槛：审计功能需主动获取特定token，新用户可能因不了解流程而无法参与审计。
依赖包更新风险：建议锁定版本并定期运行npm audit，但技能未内置自动依赖检查机制。
30天认证有效期：CLS安全认证结果非永久有效，生产部署前需重新复核。