Skill Vetter Jarvis_开发编程 skill-PHP中文网

Skill Vetter Jarvis

Polar Sponsor

爱发电赞助

.NET 9.0

立即下载

在安装来自 ClawdHub、GitHub 等来源的技能前，以安全为核心进行审查，检查危险信号和权限范围。

技能 Vetter AI 代理技能的首个安全审查协议

功能概述

技能 Vetter AI 代理技能的首个安全审查协议是一项面向实际任务的技能，主要用于绝不安装一个不先审查的技能；在安装 ClawdHub 的任何技能之前；

核心要点

在运行技能 fro 之前。
它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。
使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。

使用与执行

该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；

结果检查与注意事项

若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。

Skill Vetter 🔒

面向安全的 AI Agent 技能审查协议。切勿在完成审查前安装任何技能。

适用场景

从 ClawdHub 安装任意技能之前
运行来自 GitHub 仓库的技能之前
评估其他 Agent 分享的技能时
任何被要求安装未知代码的情形下

审查协议

步骤 1：来源核查

需回答的问题：
- [ ] 该技能来源何处？
- [ ] 作者是否已知/可信？
- [ ] 该技能下载量/Star 数是多少？
- [ ] 最后一次更新时间是什么时候？
- [ ] 是否存在其他 Agent 的评价？

步骤 2：代码审查（强制执行）

通读技能中的全部文件，重点排查以下 高危信号（RED FLAGS）：

🚨 发现即拒！立即拒绝安装，若出现以下任一情况：
─────────────────────────────────────────
• 调用 curl/wget 访问未知 URL
• 向外部服务器发送数据
• 请求凭据（credentials）、令牌（tokens）或 API keys
• 在无明确理由的情况下读取 ~/.ssh、~/.aws、~/.config 等目录
• 访问 MEMORY.md、USER.md、SOUL.md、IDENTITY.md 文件
• 对任意内容使用 base64 解码
• 使用 eval() 或 exec() 执行外部输入内容
• 修改 workspace 目录以外的系统文件
• 安装依赖包但未在清单中显式声明
• 发起指向 IP 地址（而非域名）的网络请求
• 存在混淆代码（压缩、编码、混淆、最小化等）
• 请求提权/sudo 权限
• 访问浏览器 cookies 或会话数据
• 触碰任何凭据类文件
─────────────────────────────────────────

步骤 3：权限范围评估

需评估：
- [ ] 需要读取哪些文件？
- [ ] 需要写入哪些文件？
- [ ] 运行哪些命令？
- [ ] 是否需要网络访问？目标地址是哪里？
- [ ] 其权限范围是否与其声明功能严格匹配（最小权限原则）？

步骤 4：风险等级分类

风险等级	典型示例	操作要求
🟢 LOW	笔记管理、天气查询、格式化工具等	基础审查即可，允许安装
🟡 MEDIUM	文件操作、浏览器控制、调用第三方 API 等	必须执行完整代码审查
🔴 HIGH	涉及凭据管理、交易操作、系统级控制等	必须经人工审批后方可安装
⛔ EXTREME	安全配置修改、获取 root 权限等	禁止安装

输出格式

完成审查后，请生成如下格式报告：

SKILL VETTING REPORT
═══════════════════════════════════════
Skill: [name]
Source: [ClawdHub / GitHub / other]
Author: [username]
Version: [version]
───────────────────────────────────────
METRICS:
• Downloads/Stars: [count]
• Last Updated: [date]
• Files Reviewed: [count]
───────────────────────────────────────
RED FLAGS: [None / List them]

PERMISSIONS NEEDED:
• Files: [list or "None"]
• Network: [list or "None"]  
• Commands: [list or "None"]
───────────────────────────────────────
RISK LEVEL: [🟢 LOW / 🟡 MEDIUM / 🔴 HIGH / ⛔ EXTREME]

VERDICT: [✅ SAFE TO INSTALL / ⚠️ INSTALL WITH CAUTION / ❌ DO NOT INSTALL]

NOTES: [Any observations]
═══════════════════════════════════════

快速审查命令

适用于托管在 GitHub 的技能：

# 查询仓库统计信息
curl -s "https://api.github.com/repos/OWNER/REPO" | jq '{stars: .stargazers_count, forks: .forks_count, updated: .updated_at}'

# 列出技能目录下的所有文件
curl -s "https://api.github.com/repos/OWNER/REPO/contents/skills/SKILL_NAME" | jq '.[].name'

# 获取并审阅 SKILL.md 文档
curl -s "https://raw.githubusercontent.com/OWNER/REPO/main/skills/SKILL_NAME/SKILL.md"