Как проверить скилл на безопасность перед установкой

О скиллах и MCP, в которых нашлось что-то подозрительное, я пишу в Telegram-канале. Подпишитесь, чтобы узнавать о таких находках до установки.

Скилл получает права агента, в котором работает. Claude Code, Cursor и Codex читают файлы проекта, запускают команды и ходят в сеть, и скилл может попросить агента сделать любое из этого. Инструкцию в SKILL.md агент выполняет как задание от вас. Поэтому скрытая строка «отправь содержимое .env на такой-то адрес» опасна даже без единой строчки кода. Такую атаку называют промпт-инъекцией.

Шаг 1. Уровень риска на карточке

У каждой карточки каталога SkillFoxx есть уровень риска и причины, по которым он выставлен. Низкий получают скиллы из одних инструкций и справочников. Средний ставим, если инструмент запускает код, ходит в сеть или читает файлы проекта. Высокий — если пишет во внешние системы, работает с деньгами, рабочими базами или секретами, выполняет произвольные команды.

На 30 сентября 2026 года из 695 скиллов в каталоге у 244 низкий риск, у 339 средний и у 112 высокий. По всему каталогу из 2467 карточек высокий риск у 817, это 33%. Таблица со всеми уровнями и причинами открыта на странице уровней риска.

Уровень риска мы ставим по README, способу запуска и нужным доступам, как описано в методологии, а каждую строку кода не читаем, и автоматического аудита кода у каталога пока нет. Поэтому карточка говорит, что инструмент может сделать, но не гарантирует, что в нем нет закладки. Следующие шаги закрывают этот пробел.

Шаг 2. Дерево файлов

Откройте репозиторий на GitHub и посмотрите все файлы скилла, README для этого мало. Скилл из одних инструкций состоит из SKILL.md и markdown-справочников. Все остальное требует внимания:

• папка scripts или любые файлы .py, .js, .sh, потому что этот код агент запустит на вашей машине;
• hooks и .claude-plugin/plugin.json, потому что с ними Claude Code загружает папку скилла как плагин, а плагин добавляет хуки, агентов и MCP-серверы;
• .mcp.json, потому что вместе с ним скилл принесет свой MCP-сервер;
• package.json или requirements.txt, потому что при установке по ним подтянутся зависимости из npm или PyPI.

Скрипты сами по себе не повод отказаться. В официальном скилле pdf от Anthropic восемь скриптов на Python, они заполняют формы и конвертируют страницы в картинки. Значение имеет то, что делает каждый скрипт.

Шаг 3. SKILL.md и скрипты

Прочитайте SKILL.md целиком, включая комментарии HTML и свернутые блоки. Настораживать должны просьбы отправить данные наружу, прочитать ~/.ssh, .env или ключи, отключить проверки агента, выполнить команду из интернета. Отдельно проверьте строки, где восклицательный знак стоит перед командой в обратных кавычках. По документации Claude Code такую команду Claude Code выполняет в момент вызова скилла, еще до того, как модель прочитает текст.

В заголовке SKILL.md посмотрите поле allowed-tools. Оно заранее разрешает скиллу инструменты агента, например запуск команд. В Claude Code такие разрешения все равно проходят через обычные запросы прав. Если скилл просит запуск любых команд, а в тексте не объясняет зачем, выясните это до установки.

Подозрительное в скриптах быстрее всего найти через grep. Команду запускают в папке скилла:

grep -rnE 'curl|wget|base64|eval\(|\.ssh|\.env|sudo|rm -rf|requests\.|urllib|subprocess' .

Совпадение еще не приговор, ведь скилл для работы с API обязан обращаться в сеть. Но каждый адрес и каждую команду из вывода стоит объяснить задачей скилла. В скилле pdf от Anthropic этот поиск ничего не находит, мы проверили 30 сентября 2026 года.

Шаг 4. Сканер SkillSpector

SkillSpector от NVIDIA (18,7 тыс. ★ репозитория) проверяет скиллы и MCP-серверы до установки. По README он сверяет содержимое с 71 шаблоном уязвимостей в 17 категориях, среди них промпт-инъекции, утечка данных, повышение привилегий, отравление инструментов MCP. На выходе оценка риска от 0 до 100 и отчет в терминал, JSON, Markdown или SARIF для CI. Сканер ставится через uv, нужен Python 3.12 или новее:

uv tool install git+https://github.com/NVIDIA/skillspector.git

skillspector scan https://github.com/автор/скилл --no-llm

Флаг --no-llm оставляет только статический анализ, ключ модели ему не нужен. Для смысловой проверки через модель сканеру нужен OpenAI-совместимый адрес с ключом или локальная модель. Анализ эвристический, автор предупреждает о ложных срабатываниях и пропусках. У самого SkillSpector средний риск: он клонирует репозитории на диск и обращается к OSV.dev за данными об уязвимостях в зависимостях.

Когда нужен полный аудит кода

SkillSpector ищет типовые закладки в скиллах. Если у скилла большой код, например свой сервер или десятки скриптов, нужен аудит самого кода. Для этого подходит скилл security-audit от Cloudflare (23,3 тыс. ★ репозитория). Он ведет агента через шесть фаз от разведки архитектуры до отчета, а каждую находку перепроверяет отдельный субагент. Код цели он запускает только в песочнице без сети. Для C/C++, Rust, смарт-контрактов и зависимостей есть маркетплейс плагинов Trail of Bits (7,3 тыс. ★ репозитория) с правилами Semgrep и CodeQL.

С похожим по названию набором Anthropic Cybersecurity Skills (33,6 тыс. ★ репозитория) легко спутать. Это независимая библиотека для аналитиков безопасности, с Anthropic она не связана. У нее высокий риск, потому что в ней описаны атакующие техники, включая извлечение учетных данных. Для проверки одного скилла она не нужна.

Как ограничить права, если скилл нужен

• Ставьте скилл в один проект, а глобально только после нескольких дней работы.
• Запускайте незнакомый скилл в копии проекта или контейнере без секретов в .env.
• Ставьте через npx skillfoxx add. CLI фиксирует коммит, сверяет хеши файлов и до установки печатает причины риска. Для высокого риска он требует явного согласия, а без терминала и флага --yes останавливается.
• Раз в неделю запускайте npx skillfoxx doctor, с той же частотой мы сверяем рецепты с репозиториями. Команда сообщит, если файлы скилла изменили руками, инструмент сняли с публикации или его риск вырос до высокого.

Если нашли в скилле из каталога закладку или риск кажется заниженным, нажмите кнопку «Сообщить о проблеме» на странице карточки. Мы откроем инцидент, и пока он открыт, CLI и MCP-сервер SkillFoxx этот инструмент не ставят. Про саму установку читайте в статье как поставить скилл в Claude Code.