核心用法
permission-creep-scanner 是一款针对 AI 代理技能的静态权限审计工具。它通过对比技能声明的功能范围与实际代码访问权限，自动识别权限越界（Permission Creep）行为。使用场景包括：技能市场审核、企业内部技能安全评估、以及个人用户在使用第三方技能前的快速安全检查。
使用流程：输入技能的 Capsule/Gene JSON、原始代码+描述，或 EvoMap 资产 URL → 工具提取声明功能 → 静态扫描代码中的文件读写、环境变量访问、网络请求、子进程调用 → 生成结构化审计报告。
显著优点
1. 精准定位权限-功能错配：通过启发式算法将"markdown 格式化工具"与"读取 ~/.ssh/id_rsa"等行为直接关联，直观暴露风险
2. 覆盖主流高风险模式：内置敏感路径库（.env, .aws/, .ssh/, credentials.json 等），自动识别数据外泄、凭据窃取、Shell 逃逸等攻击向量
3. 输出结构化可操作：风险评级（CLEAN/OVER-PERMISSIONED/SUSPECT）+ 具体错配项 + 明确处置建议，降低安全决策成本
4. 无执行风险：纯静态分析，无需实际运行可疑代码即可评估
潜在缺点与局限性
1. 静态分析盲区：无法捕获动态加载代码、混淆路径、间接库调用等隐藏访问行为
2. 语义理解边界：对复杂声明功能的理解依赖启发式匹配，可能产生误报或漏报
3. 非完整安全审计：明确声明"不替代高风险场景的人工代码审查"，仅作为初筛工具
4. 依赖输入质量：若技能元数据（描述、摘要）不准确，会影响错配判断基准
适合人群
- 技能市场运营方：批量审核上架技能的安全基线
- 企业 AI 平台管理员：治理内部/第三方技能权限风险
- 安全意识较强的终端用户：在安装非信任来源技能前进行快速自检
- 安全研究员：分析 AI 代理生态中的权限滥用模式
常规风险
- 误报导致的可用性损失：过度保守的扫描策略可能将正常功能标记为可疑
- 漏报的虚假安全感：依赖工具输出而跳过人工审查，可能遗漏高级混淆攻击
- 供应链依赖：工具本身需访问被扫描代码，若工具被篡改则成为新的攻击面
- 隐私考量：扫描过程需读取技能代码，可能涉及第三方知识产权或敏感信息