Repolode
Enviar
NVIDIA

NVIDIA/SkillSpector

Scanner de segurança que verifica skills de agentes de IA (Claude Code, Codex, MCP) em busca de prompt injection, exfiltração de dados e riscos à cadeia de suprimentos antes da instalação.

Ver no GitHubSite
Estrelas
20,912
Forks
1,836
Issues abertas
170
Último commit
há 2 horas

O que é?

Skills de agentes de IA são executadas com confiança implícita, e o SkillSpector as analisa antes da instalação. Ele aceita repositórios Git, URLs, arquivos ZIP, diretórios ou arquivos SKILL.md individuais, faz uma análise estática rápida com dezenas de padrões de vulnerabilidade e pode incluir, opcionalmente, uma análise semântica baseada em LLM por meio de vários provedores, incluindo OpenAI, Anthropic, AWS Bedrock, Ollama e qualquer endpoint compatível com OpenAI.

Os resultados são apresentados como uma pontuação de risco de 0 a 100, com um nível de gravidade e uma recomendação como SAFE, CAUTION ou DO NOT INSTALL. A saída pode ser em texto no terminal, JSON, Markdown ou SARIF para pipelines de CI. Um arquivo de baseline permite que as equipes aceitem problemas conhecidos, para que novas verificações exibam apenas problemas novos.

O SkillSpector também pode ser executado como servidor MCP, permitindo que agentes como Claude Code chamem o scanner como uma ferramenta e condicionem a instalação ao resultado.

Recursos principais

  • 01Analisa diretórios locais, arquivos individuais, arquivos ZIP, URLs e repositórios Git
  • 02Detecta prompt injection, exfiltração de dados, acesso a credenciais e problemas na cadeia de suprimentos
  • 03Combina análise estática com avaliação semântica opcional por LLM
  • 04Gera relatórios no terminal, em JSON, Markdown e SARIF
  • 05Oferece suporte a arquivos de baseline para suprimir problemas aceitos em novas verificações
  • 06É executado como servidor MCP para condicionar instalações iniciadas por agentes

Casos de uso

  • Avaliar uma skill de terceiros para Claude Code ou Codex antes de instalá-la
  • Condicionar instalações de skills de agentes em um pipeline de CI usando a saída SARIF
  • Revisar definições de servidores MCP em busca de permissões excessivas ou envenenamento de ferramentas
  • Analisar uma coleção de skills em lote para priorizar os riscos

Início rápido

  1. 1

    Instalar o SkillSpector como ferramenta CLI com uv

    uv tool install git+https://github.com/NVIDIA/skillspector.git
  2. 2

    Verificar um diretório de skills local sem análise de LLM

    skillspector scan ./my-skill/ --no-llm

Antes de usar

  • A análise semântica completa requer configurar um provedor de LLM com sua própria chave de API ou endpoint.
  • Para instalar via Git, é necessário clonar o repositório e obter dependências de código aberto de terceiros.

Tópicos

#agent-security#ai-security#prompt-injection#supply-chain-security#mcp#claude-code#security-scanner#agent-skills#agentic-ai#security-tools

Perguntas frequentes

O que é SkillSpector?
Scanner de segurança que verifica skills de agentes de IA (Claude Code, Codex, MCP) em busca de prompt injection, exfiltração de dados e riscos à cadeia de suprimentos antes da instalação. Skills de agentes de IA são executadas com confiança implícita, e o SkillSpector as analisa antes da instalação. Ele aceita repositórios Git, URLs, arquivos ZIP, diretórios ou arquivos SKILL.md individuais, faz uma análise estática rápida com dezenas de padrões de vulnerabilidade e pode incluir, opcionalmente, uma análise semântica baseada em LLM por meio de vários provedores, incluindo OpenAI, Anthropic, AWS Bedrock, Ollama e qualquer endpoint compatível com OpenAI.
SkillSpector é gratuito? Qual é a licença?
SkillSpector é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
SkillSpector ainda é mantido?
Manutenção ativa. O último commit de SkillSpector foi em 22 de out. de 2026.
Para que posso usar SkillSpector?
Avaliar uma skill de terceiros para Claude Code ou Codex antes de instalá-la Condicionar instalações de skills de agentes em um pipeline de CI usando a saída SARIF Revisar definições de servidores MCP em busca de permissões excessivas ou envenenamento de ferramentas Analisar uma coleção de skills em lote para priorizar os riscos
Como instalar SkillSpector?
Instalar o SkillSpector como ferramenta CLI com uv: uv tool install git+https://github.com/NVIDIA/skillspector.git Verificar um diretório de skills local sem análise de LLM: skillspector scan ./my-skill/ --no-llm
Onde consigo SkillSpector?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/NVIDIA/SkillSpector

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados