npx skillfoxx: установщик скиллов и MCP с проверками, которых нет у skills.sh и Smithery
Мы запустили npx skillfoxx, MCP-сервер каталога и открытый API. Перед запуском разобрали код skills.sh, Smithery и еще двух популярных установщиков: ни один не подписывает то, что ставит, и ни один не остановит установку опасной записи. У нас рецепт подписан, риск виден до установки, а версия закреплена за коммитом.