安全审核标准_自动化#

元信息#

• name: 安全审核标准_自动化
• description: 自动扫描 skills 目录，对所有 Skill 文件进行安全审计、风险评分和安装建议
• version: 1.1
• author: 系统安全策略

触发词#

• 扫描技能
• 批量检查技能
• 安全审计
• 风险分析
• 安装建议
• 自动化

---

核心流程#

用户请求扫描 skills 目录时，执行以下流程：

1. 自动扫描 skills/ 目录（含子目录），遍历所有 .py / .json / .js 文件

2. 提取信息：文件名、类型、大小、最后修改时间

3. 执行安全检查：

   • 检查是否包含 eval / exec / os.system / subprocess 等代码执行关键词
   • 检查是否包含 requests.get / urllib / socket 等网络访问
   • 检查是否包含 sudo / chmod / chown 等高权限操作

4. 计算评分（初始100分，每命中一处扣20分）

5. 输出风险等级：

   • 0-30分：🔴 禁止
   • 31-70分：🟡 谨慎
   • 71-100分：🟢 安全

6. 输出结构化报告：

   • 文件基本信息
   • 风险检测结果
   • 风险评分 & 等级
   • 安装建议

7. 风险评分 < 40 的文件，不输出任何安装步骤或下载链接

---

运行方式#

执行脚本：

text

python3 skills/skill-vetter-safe/scan_skills.py

输出文件：

• skills/技能安全审计报告.json

---

评分标准#

评分等级建议71-100🟢 安全允许安装31-70🟡 谨慎谨慎安装，建议沙箱运行0-30🔴 禁止禁止安装

---

安全原则#

1. 只读扫描，不修改任何 skills 文件
2. 报告不通过审核，不提供任何安装指引
3. 扫描结果永久记录，可追溯