cisco-ai-defense/skill-scanner

Что это?

Ключевые возможности

• 01Сочетает правила YAML и YARA-X для обнаружения по шаблонам с анализом AST и потоков данных.
• 02Необязательная семантическая проверка результатов с помощью LLM-судьи, поддерживающей несколько провайдеров.
• 03Формирует отчёты в JSON, Markdown, SARIF и интерактивном HTML.
• 04Предоставляет готовый workflow для GitHub Actions и pre-commit hook.
• 05Поддерживает предустановленные политики и пользовательские политики YAML для настройки количества ложных срабатываний.

Сценарии использования

• Проверка сторонних навыков агентов перед установкой в помощник для написания кода.
• Блокировка изменений навыков в CI с выводом результатов SARIF в GitHub Code Scanning.
• Проверка репозитория навыков команды при каждом коммите с помощью pre-commit.
• Массовая проверка каталога навыков с поиском пересечений между ними.

Быстрый старт

1. 1

   Установите сканер с помощью uv

   uv pip install cisco-ai-skill-scanner
2. 2

   Задайте API-ключ LLM judge

   export SKILL_SCANNER_LLM_API_KEY="your_api_key"
3. 3

   Просканируйте skill с помощью LLM judge и пресета balanced

   skill-scanner scan /path/to/skill --use-llm --policy balanced --fail-on-severity high

Что важно знать

• !Обнаружение выполняется по мере возможностей; отсутствие результатов сканирования не гарантирует безопасность skill.
• !Для рекомендуемых конфигураций нужен API-ключ LLM judge, поскольку одни только правила выявляют лишь около 8% вредоносных skill из отложенной выборки.
• !В метаданных лицензия указана как NOASSERTION, поэтому перед использованием следует проверить условия лицензии.

В подборках

Темы

Частые вопросы

Что такое skill-scanner?

Сканер безопасности для AI Agent Skills, который выявляет prompt injection, утечку данных и шаблоны вредоносного кода; результаты проверки носят предварительный характер. Skill Scanner проверяет навыки AI-агентов на наличие опасного содержимого до установки или публикации. Он сочетает обнаружение по шаблонам с правилами YAML и YARA-X, анализом AST и потоков данных в коде Python, а также необязательной проверкой результатов с помощью LLM-судьи. Результаты можно выгрузить в JSON, Markdown, SARIF или интерактивный HTML-отчёт.

skill-scanner можно использовать бесплатно? Какая у него лицензия?

skill-scanner распространяется с открытым исходным кодом под лицензией Other. Перед использованием в коммерческих продуктах проверьте условия лицензии.

skill-scanner всё ещё поддерживается?

Активно поддерживается. Последний коммит в skill-scanner — 6 нояб. 2026 г..

Для чего можно использовать skill-scanner?

Проверка сторонних навыков агентов перед установкой в помощник для написания кода. Блокировка изменений навыков в CI с выводом результатов SARIF в GitHub Code Scanning. Проверка репозитория навыков команды при каждом коммите с помощью pre-commit. Массовая проверка каталога навыков с поиском пересечений между ними.

Как установить skill-scanner?

Установите сканер с помощью uv: uv pip install cisco-ai-skill-scanner Задайте API-ключ LLM judge: export SKILL_SCANNER_LLM_API_KEY="your_api_key" Просканируйте skill с помощью LLM judge и пресета balanced: skill-scanner scan /path/to/skill --use-llm --policy balanced --fail-on-severity high

Где скачать skill-scanner?

Исходный код и инструкции по установке — на GitHub: https://github.com/cisco-ai-defense/skill-scanner