核心用法
AIclude Vulnerability Scanner 是一款专注于 AI 生态安全的漏洞扫描技能，主要面向 MCP（Model Context Protocol）服务器和 AI Agent 技能的安全检测。用户通过简单的 CLI 命令 /security-scan 即可发起扫描，仅需提供包名（如 npm 包、GitHub 仓库名）和可选的类型参数（mcp-server 或 skill）。
显著优点
1. 自动化扫描流程：无需预配置，若目标无历史报告，系统自动注册并完成扫描，降低使用门槛
2. AI 生态专项优化：针对 MCP 服务器和 AI Agent 技能的特殊攻击面设计检测规则，填补通用安全工具的盲区
3. 透明化输出：提供结构化风险评估（CRITICAL/HIGH/MEDIUM/LOW/INFO 五级分级），附带具体漏洞位置与修复建议
4. 隐私保护设计：仅传输包名和类型，不上传源码或凭证，减少敏感信息暴露风险
5. 双模式部署：同时提供 Skill 形态（@aiclude/security-skill）和 MCP Server 形态（@aiclude/security-mcp），适配不同集成场景
潜在缺点与局限性
1. 依赖外部 API：扫描结果获取依赖 AIclude 云端服务，存在网络延迟和单点故障风险
2. 扫描覆盖范围有限：主要针对公开包和仓库，私有代码或本地未发布组件无法直接检测
3. 实时性约束：新漏洞的发现到规则更新存在时间窗口，0day 漏洞可能漏检
4. 误报与漏报平衡：自动化扫描难以完全替代人工代码审计，复杂逻辑漏洞识别能力有限
适合人群
- AI Agent 开发者：在发布前验证技能安全性
- MCP 服务器维护者：持续监控依赖组件漏洞
- 企业安全团队：建立 AI 应用供应链安全基线
- 开源社区贡献者：为共享组件提供安全背书
常规风险
- 供应链投毒风险：若扫描目标本身为恶意包，解析过程存在潜在触发风险
- API 密钥泄露：虽设计为不传输凭证，但用户误操作仍可能暴露敏感信息
- 扫描结果误读：低风险评级不等于绝对安全，需结合业务场景综合判断
- 服务可用性：第三方 SaaS 依赖可能导致企业内网环境使用受限