Cardea Skill 技能

技能简介

Cardea 是一个为 Claude Code 技能(以及任何 Agent Skill)打造的预安装安全扫描器。它站在攻击者视角审视一份技能目录,跑 46 项检查覆盖结构、坏引用、提示词注入与隐藏 Unicode,给出 0-100 安全分、逐条带文件路径与行号的诊断列表,并在出现 critical 风险时直接出具「DO NOT INSTALL」裁决,杜绝恶意技能绕过审核。

核心能力

• 46 项自动化扫描:检查项覆盖 SKILL.md 结构完整性、字段缺失、引用死链、提示词注入、隐形 Unicode 字符、可疑 shell 命令、base64 载荷、隐藏 cron 等。
• DO-NOT-INSTALL 裁决门:一旦扫描命中 critical 级别风险(如读取 SSH key、执行 curl 反弹 shell、嵌入隐形 unicode 字符等),直接返回红牌,即使后续被同名命令替换也无法绕过。
• 0-100 安全评分:基于规则命中数、严重程度分布、是否触发门禁,自动计算可比较的整数分,方便在不同版本、不同来源技能之间排序。
• 逐条带行号诊断:每条 finding 给出所在文件路径与行号,安全工程师可以直接跳到原始代码验证。
• 零依赖、单文件运行:仅依赖 Python 3+ 标准库,不联网、无后台 daemon,审计过程不会污染本机环境。

安装配置

1. 准备 Python 3.10+ 环境,确保本机已安装 git 与 GitHub CLI(可选,用于审计未下载的仓库)。
2. 克隆仓库 git clone https://github.com/Leelaloo/Cardea && cd Cardea,无需 pip install。
3. 给主脚本加执行权限 chmod +x cardea.py,或直接用 python3 cardea.py 调用。
4. 如需在 CI 中使用,把 cardea.py 复制到 pipeline 镜像,无需额外配置。
5. 通过 SVG 徽章把扫描分数嵌入 README,作为外部技能可见的安全标识。

使用步骤

1. 把要审查的技能目录放到本地任意位置(例如 ~/downloads/suspicious-skill/)。
2. 执行 python3 cardea.py ~/downloads/suspicious-skill/,Cardea 自动遍历所有文件并按规则打分。
3. 在终端读取每条 finding 的文件路径与行号,人工跳到对应位置二次确认。
4. 拿到 0-100 安全分,根据团队阈值(常见 ≥85)决定通过或拒绝。
5. 若返回 DO-NOT-INSTALL,在 README 或 PR 中附上审计日志,拒绝合入主分支。

适用场景

• Skill 仓库入库审计:在合并 PR 前自动跑 Cardea,防止恶意技能污染官方市场。
• 第三方市场准入:对来自社区的技能做合规审查,给出统一安全分。
• 企业内部安全团队:用同一规则集审查所有 Agent Skill,降低人因差异。
• CI/CD 流水线:把 Cardea 嵌入 GitHub Actions,自动拦截 critical 级问题。

适用人群

• Claude Code / OpenClaw 等 Agent 平台的安全工程师
• Skills 仓库维护者与社区版主
• 安全合规与采购审计团队
• 关注 Agent 生态安全的协议研究者

工作原理

Cardea 用纯静态分析方式扫描技能目录,逐文件读取并按预定义规则集(46 项)匹配特征:对 SKILL.md 检查必填字段与死链;对 shell/JS/Python 等可执行文件做正则匹配(反弹 shell、curl | bash、可疑 base64);用 Unicode 标准化找出不可见字符与隐形标签;再用启发式打分模块把命中按严重程度汇总为 0-100 分,并在 critical 命中时短路返回红牌裁决。

官方链接

• GitHub: https://github.com/Leelaloo/Cardea