安全审核标准_自动化
元信息
- name: 安全审核标准_自动化
- description: 自动扫描 skills 目录，对所有 Skill 文件进行安全审计、风险评分和安装建议
- version: 1.1
- author: 系统安全策略
触发词
- 扫描技能
- 批量检查技能
- 安全审计
- 风险分析
- 安装建议
- 自动化
核心流程
用户请求扫描 skills 目录时，执行以下流程：
- 自动扫描
skills/目录（含子目录），遍历所有.py/.json/.js文件 - 提取信息：文件名、类型、大小、最后修改时间
- 执行安全检查：
- 检查是否包含 eval / exec / os.system / subprocess 等代码执行关键词 - 检查是否包含 requests.get / urllib / socket 等网络访问 - 检查是否包含 sudo / chmod / chown 等高权限操作
- 计算评分（初始100分，每命中一处扣20分）
- 输出风险等级：
- 0-30分：🔴 禁止 - 31-70分：🟡 谨慎 - 71-100分：🟢 安全
- 输出结构化报告：
- 文件基本信息 - 风险检测结果 - 风险评分 & 等级 - 安装建议
- 风险评分 < 40 的文件，不输出任何安装步骤或下载链接
运行方式
执行脚本：
python3 skills/skill-vetter-safe/scan_skills.py输出文件：
skills/技能安全审计报告.json
评分标准
| 评分 | 等级 | 建议 |
|---|---|---|
| 71-100 | 🟢 安全 | 允许安装 |
| 31-70 | 🟡 谨慎 | 谨慎安装，建议沙箱运行 |
| 0-30 | 🔴 禁止 | 禁止安装 |
安全原则
- 只读扫描，不修改任何 skills 文件
- 报告不通过审核，不提供任何安装指引
- 扫描结果永久记录，可追溯