SkillsSafe Security Scanner

SkillsSafe — AI 技能安全扫描器

免费、无需注册的 AI Agent 技能安全扫描器。 安装前扫描任意 SKILL.md、MCP 配置或 system_prompt，检查是否存在威胁。

🌐 skillssafe.com

---

SkillsSafe 是什么？

随着 AI Agent 变得日益强大，恶意技能可能窃取凭据、外传数据，或劫持 Agent 的行为。SkillsSafe 会在你安装技能前扫描技能文件，就像杀毒软件在你运行软件前扫描软件一样。

支持的平台： OpenClaw · Claude Code · Cursor · Codex · 任意兼容 MCP 的 Agent

---

功能

🔍 安全扫描器

粘贴内容、输入 URL，或上传文件，以扫描以下威胁：

威胁	描述
凭据窃取	尝试访问 API 密钥、令牌或密码
数据外传	将你的数据发送到外部服务的技能
提示词注入	劫持 Agent 行为的隐藏指令
Shell 注入	反向 Shell 或任意命令执行
零宽字符	隐藏恶意指令的不可见 Unicode 字符
权限范围扩大	技能请求超出其声明用途的权限
记忆投毒	尝试破坏 Agent 记忆或上下文
隐私风险	不必要地访问个人或敏感数据

每次扫描都会返回风险评分、严重程度评级（SAFE / CAUTION / DANGER / CRITICAL）和可分享的报告链接。

👁️ 零宽字符检测器

可视化文本中隐藏的不可见 Unicode 字符（U+200B、U+200C、U+200D、U+FEFF 等）。攻击者会嵌入这些字符，制作出对人类看似安全、却为 AI Agent 携带隐藏指令的提示词。

🔌 MCP 服务集成

原生支持 Model Context Protocol，可让你的 Agent 在安装前自动检查技能安全性。无需 API 密钥。

# OpenClaw (one-line setup)
openclaw mcp add https://skillssafe.com/api/mcp

可用的 MCP 工具：

• scan_url — 按 URL 扫描技能
• scan_content — 直接扫描技能内容
• get_report — 获取完整扫描报告

📡 REST API

适用于任何 Agent、脚本或 CI/CD 流水线。

# Scan by URL
curl -X POST https://skillssafe.com/api/v1/scan/url \
  -H "Content-Type: application/json" \
  -d '{"url": "https://clawhub.ai/skills/example"}'

# Scan by content
curl -X POST https://skillssafe.com/api/v1/scan/content \
  -H "Content-Type: application/json" \
  -d '{"content": "...skill content..."}'

完整的 OpenAPI 规范：https://skillssafe.com/api/v1/openapi.json

---

页面

路径	描述
/	主安全扫描器
/zero-width-detector	隐藏 Unicode 字符检测器
/api-docs	交互式 API 文档
/integrate	MCP 和 REST API 集成指南
/feedback	错误报告和功能请求

---

开始使用（本地开发）

npm install
npm run dev

在浏览器中打开 http://localhost:3000。

环境变量

# .env.local
# (see wrangler.toml for Cloudflare Workers configuration)

技术栈

• 框架： Next.js（App Router）
• 部署： 通过 @opennextjs/cloudflare 部署到 Cloudflare Workers
• 数据库： Cloudflare D1（SQLite）
• 国际化： next-intl（English · 中文 · 日本語）

---

定价

100% 免费 · 无需注册 · 面向个人用户不限速

API 速率限制：每小时 60 次请求（无需 API 密钥）。

---

反馈与支持

发现错误或误报？提交反馈 或发送邮件至 [email protected]。

---

SkillsSafe 是一款独立的安全工具，与 Anthropic、OpenClaw 或 Cisco 均无关联。