skill-security-scan

项目简介

NVIDIA SkillSpector 可扫描 Git 仓库、URL、压缩包、目录或单文件，检测提示注入、数据外泄、权限提升、危险代码、依赖漏洞、MCP 最小权限和工具投毒等风险。它结合静态分析与可选 LLM 语义判断，输出终端、JSON、Markdown 或 SARIF 报告，并提供风险评分与基线抑制。扫描不会执行目标 Skill；启用 LLM 时文件内容会发送给所选模型服务，使用 --no-llm 可保持静态分析。

项目简介

Snyk Agent Scan 会自动发现 Claude、Cursor、Windsurf、Gemini CLI 等工具的 MCP 配置和 Agent Skills，并检查提示注入、工具投毒、工具遮蔽、恶意载荷、凭据处理和硬编码密钥等问题。它可通过 uvx 直接运行；扫描 stdio MCP 时会执行配置中的命令，因此应先核对命令并在交互授权后再启动。