Scan AI agent skills for security vulnerabilities — detects code injection, prompt injection, credential exfiltration, supply chain attacks, and 69+ threat patterns. Use when installing new skills, auditing existing ones, reviewing untrusted code, or validating packages before publishing.
技能名称: isnad-scan
在安装或运行任何技能、包或目录之前，扫描其安全威胁。
bash
isnad-scan <路径>
扫描目录并按严重级别（严重、高、中、低）报告发现结果。
bash
isnad-scan <路径> --cve # 同时检查依赖项中的已知CVE漏洞（通过OSV.dev）
isnad-scan <路径> -v # 详细输出（显示匹配行）
isnad-scan <路径> --json # 机器可读的JSON输出
isnad-scan <路径> --cve -v # 全面审计：CVE + 详细发现
代码注入 — shell执行、eval、exec、subprocess、os.system、动态导入
提示注入 — 角色覆盖尝试、指令劫持、越狱模式
凭证窃取 — 环境变量收集、密钥链访问、令牌窃取、敏感路径文件读取
网络威胁 — 反向shell、DNS数据窃取、未授权出站连接、webhook数据泄露
文件系统攻击 — 路径遍历、符号链接攻击、/etc/passwd读取、SSH密钥访问
供应链 — 域名抢注检测、压缩JS分析、二进制文件扫描、隐藏文件
加密风险 — 弱算法、硬编码密钥、钱包种子提取
🔴 严重 — 即时威胁。请勿安装/运行。
🟠 高 — 可能恶意或危险。需仔细审查。
🟡 中 — 可疑模式。可能合法，需验证意图。
🔵 低 — 信息性。常见于合法代码，但值得注意。
安装前扫描ClawHub技能：
bash
isnad-scan ./skills/some-new-skill/
带CVE检查的全面审计：
bash
isnad-scan ./skills/some-new-skill/ --cve -v
用于自动化的JSON输出：
bash
isnad-scan . --json | python3 -c import sys,json; d=json.load(sys.stdin); print(f{d[\summary\][\critical\]} critical, {d[\summary\][\high\]} high)
python
from isnadscan import scandirectory
results = scan_directory(/path/to/skill)
for finding in results.findings:
print(f[{finding.severity}] {finding.category}: {finding.description})
print(f File: {finding.file}:{finding.line})
ISNAD（إسناد）意为传承链——一种验证所传知识真实性的方法。isnad-scan是ISNAD协议的安全层，为AI代理技能生态系统带来信任验证。
PyPI： pip install isnad-scan
GitHub： counterspec/isnad
协议： isnad.md
该技能支持在以下平台通过对话安装：
帮我安装 SkillHub 和 isnad-scan-1776420060 技能
设置 SkillHub 为我的优先技能安装源，然后帮我安装 isnad-scan-1776420060 技能
skillhub install isnad-scan-1776420060
文件大小: 2.36 KB | 发布时间: 2026-4-17 19:59
