SkillSpector

AI 에이전트 스킬용 보안 스캐너. 에이전트 스킬 설치 전에 취약점, 악성 패턴 및 보안 위험을 탐지합니다.

개요

AI 에이전트 스킬(Claude Code, Codex CLI, Gemini CLI 등에서 사용)은 암묵적인 신뢰와 최소 검증으로 실행됩니다. 연구에 따르면 26.1%의 스킬이 취약점을 포함하며 5.2%는 악의적인 의도를 보일 가능성이 있음이 확인되었습니다.

SkillSpector는 다음 질문에 답할 수 있도록 도와줍니다: "이 스킬을 설치해도 안전한가요?"

문서

• 개발 가이드 — 아키텍처, 패키지 구성 및 분석기 파이프라인 확장 방법
• Pi 확장 — SkillSpector를 Pi 도구로 설치하여 에이전트 세션 내에서 스킬을 스캔합니다.

기능

• 다중 형식 입력: Git 저장소, URL, zip 파일, 디렉토리 또는 단일 파일 스캔
• 17개 범주에 걸친 68개 취약점 패턴: 프롬프트 주입, 데이터 유출, 권한 상승, 공급망, 과도한 권한, 출력 처리, 시스템 프롬프트 노출, 메모리 오염, 도구 오남용, 불량 에이전트, 거부 방지, 트리거 악용, 위험 코드(AST), 오염 추적, YARA 시그니처, 최소 권한 MCP, MCP 도구 오염
• 2단계 분석: 빠른 정적 분석 + 선택적 LLM 의미 평가
• 실시간 취약점 조회: SC4가 OSV.dev에서 실시간 CVE 데이터를 조회하며 자동 오프라인 대체 지원
• 다양한 출력 형식: 터미널, JSON, Markdown, SARIF 보고서
• 위험 점수: 0-100 점수와 심각도 레이블 및 명확한 권장 사항
• **Bas

---

🌐 본 텍스트는 빠른 이해를 돕기 위한 요약 번역본입니다. 정확한 기술 정보 및 전체 코드는 GitHub 원문에서 확인하실 수 있습니다.