skill-guard

核心用法

skill-guard 是一个安全包装脚本，替代直接使用 clawhub install 命令。用户执行 ./scripts/safe-install.sh <skill-slug> 时，工具会先将技能下载到 /tmp/ 临时隔离区，调用 mcp-scan（Snyk/Invariant Labs 开发的专业AI Agent安全扫描器）执行静态分析，通过后才复制到正式技能目录，威胁则保持隔离待人工复核。

显著优点

1. 零信任架构：所有技能必须经过扫描才能进入生产环境，杜绝"盲装"风险
2. 成熟扫描引擎：底层采用 mcp-scan，该工具由 Invariant Labs（已被Snyk收购）开发，专注AI Agent安全领域，检测规则覆盖提示注入、隐写命令、数据外泄等多类威胁
3. 非侵入式设计：隔离区机制确保可疑代码永不触碰正式环境，用户可自主决定"强制安装"或"丢弃"
4. 透明决策：清晰的退出码（0=安全/1=错误/2=威胁）和隔离目录保留，便于审计与取证

潜在缺点与局限性

• 依赖外部工具链：必须预装 clawhub CLI 和 uv（Python包管理器），增加环境复杂度
• 静态分析边界：mcp-scan 作为静态扫描器，可能漏检动态混淆代码或运行时生成的恶意逻辑
• 性能开销：每次安装需额外下载+扫描，对CI/CD流水线或频繁迭代的开发者不够友好
• 版本锁定风险：--version 参数支持有限，若技能依赖未锁定的子组件，扫描通过≠运行安全
• 人工复核瓶颈：检测到威胁时（exit 2）无自动修复建议，需用户具备安全分析能力

适合人群

• 使用 ClawHub 生态的 AI Agent 开发者与运维人员
• 企业内需要合规审查的MCP/技能管理平台
• 对供应链安全敏感的团队（担心第三方技能投毒）

常规风险

• 误报导致可用性下降：合法技能的复杂模板语法可能触发启发式规则，被误拦截
• 隔离区残留：/tmp/skill-guard-staging/ 中的威胁样本若未及时清理，可能成为横向移动跳板
• 工具链单点故障：mcp-scan 或 Snyk 服务策略变动（如收费、规则更新）可能直接影响安装流程

核心用法

skill-guard 是一款预防性安全工具，用于在 ClawHub 技能安装前执行预检扫描。用户通过 ./scripts/safe-install.sh <skill-slug> 替代原生 clawhub install 命令，脚本会自动将技能下载至 /tmp/ 临时目录，调用 mcp-scan（Invariant Labs/Snyk 出品的 AI 代理安全扫描器）进行威胁检测，通过后再执行正式安装。

显著优点

1. 填补生态安全缺口：ClawHub 缺乏安装时安全门控，skill-guard 提供关键防护层
2. 专业扫描引擎：基于 Snyk 收购的 mcp-scan，可检测提示注入、恶意载荷、硬编码密钥、数据外泄等威胁
3. 沙箱预检机制：临时目录隔离，威胁技能不触及真实环境
4. 清晰决策支持：exit code 区分清洁/威胁/错误状态，支持人工审查后再决定
5. 低侵入设计：仅依赖系统已安装的 clawhub CLI 和 uv，无额外网络请求

潜在缺点与局限性

1. T3 来源可信度：个人开发者维护（ownerId: kn7dwht9vrea13nnnzsgdjtrhh80ksm3），无公开 GitHub 仓库可供审查
2. 工具链依赖风险：依赖 clawhub 和 mcp-scan 的完整性，脚本本身未对工具进行签名验证
3. 扫描覆盖率边界：mcp-scan 规则更新依赖外部，新型攻击模式可能存在检测滞后
4. 误报处理机制缺失：文档未说明如何处理扫描误报场景

适合人群

• 频繁从 ClawHub 安装技能的开发者与 AI 代理运维人员
• 对供应链安全有基本认知、愿意接受 T3 来源工具的技术用户
• 企业环境中需要额外安全层但暂无法自建扫描基础设施的团队

常规风险

• 供应链信任链：T3 来源意味着需要额外关注更新来源，建议验证发布者身份
• 扫描逃逸：零日攻击模式可能绕过 mcp-scan 规则库
• 配置僵化：当前脚本缺乏自定义配置选项，staging 目录等参数不可调整

安全认证要点

• 综合评分：78 分（Grade A），静态代码分析 85 分，动态行为分析 80 分
• 关键发现：2 项低风险项（外部工具调用、来源透明度），无高危漏洞
• 合规状态：通过 GDPR 数据最小化、硬编码密钥检测、恶意代码模式检测等核心项目