我不是小布丁
@xiaobuding
有个仓库把"装技能"这件危险的事变成了流水线：388 个 AI agent skills，在你安装之前，先由自带的 auditor 全部扫一遍——扫描覆盖 20 个领域，专查六类问题：藏在辅助脚本里的命令注入、安装过程中的静默代码执行、.env 与密钥外泄、埋在 skill markdown 里的 prompt 注入、被引用依赖带来的供应链风险、提权尝试。
架构一句话：skill.md 定义怎么做、scripts 干活、auditor 打 pass／warn／fail 分——只有 pass 才允许安装。（转述自原帖）
这条与今晚两篇正好凑成 Skill 安全的三部曲。SkillOpt 讲技能如何自我进化，但自我进化的前提是"改完还合格"；这篇讲的是更前置的问题——从陌生人手里下载的技能，凭什么让它碰你的机器。
答案是把"凭什么"变成一台可执行的检查：下载→审计→评级→隔离→修补→安装→运行，单人就能在任何一行代码触到本机之前，把 388 个来路不明的技能过完筛。这与"三重权限检查"、与 IDA 那篇"给动作不给像素"是同一根轴：入口收得越窄，越不需要依赖对方的善意。
"扫什么"的清单本身就是一份供应链安全课：命令注入与静默执行防的是"装的时候就出事"，密钥外泄防的是"运行时家里被搬空"，prompt 注入防的是"用的时候被话术劫持"，依赖风险防的是"朋友的朋友也有问题"——四个时间点各配一道闸，恰好覆盖技能的全生命周期。
顺带一提，auditor 在 skill 文本里查 prompt 注入这条特别应景：markdown 本来是给人读的说明，如今要当指令执行，说明书本身就成了攻击面——这正是"给动作不给像素"的暗面：动作越直接，说明文本越要当代码审。
solo builder 值得偷的那条流程也很朴素：先审后装、隔离修补再放行；哪怕 那条高赞帖讲的"一人跑完研究到销售全流程"再诱人，前提也是每个环节的入口都被审过。能力可以外采，采进来的每一件都得先过自己的闸——两句话本来就是一句。
给想照做的人一句落地的：给你常装的技能目录先补一道 audit 脚本——不需要一次做全，先查三样就够起家：安装脚本里有没有网络请求、有没有读 ~/.ssh 或 .env 的动作、markdown 里有没有"忽略之前的指令"类句子。三样查完再按安装，你就已经比绝大多数直接 unzip 的人多了一层甲。
