cisco-ai-defense/skill-scanner

O que é?

Recursos principais

• 01Combina regras de padrões YAML e YARA-X com análise de AST e fluxo de dados.
• 02Avaliador LLM opcional para análise semântica dos resultados, com opções de vários provedores.
• 03Gera relatórios em JSON, Markdown, SARIF e HTML interativo.
• 04Disponibiliza um workflow reutilizável do GitHub Actions e um hook de pre-commit.
• 05Oferece presets de política e políticas YAML personalizadas para ajustar o nível de ruído.

Casos de uso

• Avaliar skills de agentes de terceiros antes de instalá-las em um assistente de programação.
• Bloquear alterações em skills no CI e exibir os resultados SARIF no GitHub Code Scanning.
• Verificar o repositório de skills de uma equipe a cada commit usando pre-commit.
• Auditar em lote um diretório de skills, verificando sobreposições entre elas.

Início rápido

1. 1

   Instale o scanner com uv

   uv pip install cisco-ai-skill-scanner
2. 2

   Defina a chave de API do LLM judge

   export SKILL_SCANNER_LLM_API_KEY="your_api_key"
3. 3

   Analise um skill com o LLM judge e o preset balanced

   skill-scanner scan /path/to/skill --use-llm --policy balanced --fail-on-severity high

Antes de usar

• !A detecção é feita apenas na medida do possível; uma análise sem resultados não garante que um skill seja seguro.
• !As configurações recomendadas precisam de uma chave de API do LLM judge, pois as regras sozinhas detectam apenas cerca de 8% dos skills maliciosos do conjunto de teste reservado.
• !Nos metadados, a licença aparece como NOASSERTION; portanto, verifique os termos da licença antes de usar.

Em coleções

Tópicos

Perguntas frequentes

O que é skill-scanner?

Um scanner de segurança best-effort para AI Agent Skills que detecta prompt injection, exfiltração de dados e padrões de código malicioso. O Skill Scanner verifica AI agent skills em busca de conteúdo arriscado antes que sejam instaladas ou compartilhadas. Ele combina detecção baseada em padrões com regras YAML e YARA-X, análise de AST e fluxo de dados em código Python e um avaliador LLM opcional que analisa semanticamente os resultados. Os resultados podem ser gerados como JSON, Markdown, SARIF ou um relatório HTML interativo.

skill-scanner é gratuito? Qual é a licença?

skill-scanner é open source sob a licença Other. Confira os termos da licença antes de usá-lo em produtos comerciais.

skill-scanner ainda é mantido?

Manutenção ativa. O último commit de skill-scanner foi em 6 de nov. de 2026.

Para que posso usar skill-scanner?

Avaliar skills de agentes de terceiros antes de instalá-las em um assistente de programação. Bloquear alterações em skills no CI e exibir os resultados SARIF no GitHub Code Scanning. Verificar o repositório de skills de uma equipe a cada commit usando pre-commit. Auditar em lote um diretório de skills, verificando sobreposições entre elas.

Como instalar skill-scanner?

Instale o scanner com uv: uv pip install cisco-ai-skill-scanner Defina a chave de API do LLM judge: export SKILL_SCANNER_LLM_API_KEY="your_api_key" Analise um skill com o LLM judge e o preset balanced: skill-scanner scan /path/to/skill --use-llm --policy balanced --fail-on-severity high

Onde consigo skill-scanner?

O código-fonte e as instruções de instalação estão no GitHub: https://github.com/cisco-ai-defense/skill-scanner