安装陌生 Skill 前先审计一下

最近开源了一个新的 Codex Skill：skill-security-auditor。 现在各种 AI Skill / agent workflow 越来越多，很多都能直接从 GitHub 装到本地。但安装前最好先看一眼： 有没有危险脚本 有没有硬编码 API key、token、cookie 有没有下载远程脚本后直接执行 有没有访问 SSH 私钥、浏览器凭据或系统目录 有没有不明外部网络请求 Skill 描述和脚本实际行为是否一致 这个 Skill 会检查 SKILL.md、scripts、references、README、外部 URL、密钥模式、危险命令、二进制文件和供应链风险。 输出会给出总体风险、是否建议安装、关键发现、文件证据、影响说明和修复建议。 GitHub： https://github.com/cuicuishark1215-lang/skill-security-auditor #Codex #AI工具 #开源项目 #GitHub #安全审计 #供应链安全 #开发者工具 #AI代理 #Skill