skillvet

skillvet 是一款专为 AI 代理技能和 MCP 服务器设计的一键式供应链扫描工具。它能在不执行代码的情况下，快速解析技能树，并在约五秒内给出 红 / 黄 / 绿 安全评级，帮助开发者在运行任何 AI 技能前识别潜在风险。

核心功能

skillvet 的核心在于其静态分析能力。它无需运行技能代码，即可深入检查技能包的结构和内容，从而避免因执行未知代码而带来的安全风险。通过简单的命令行操作，开发者可以快速获得安全评估结果，确保 AI 技能在进入生产环境前经过严格审查。

主要特性

• 快速扫描：约五秒内完成整个技能树的读取与安全评级，效率极高。
• 零依赖：基于 Node 20+，无任何运行时依赖，安装使用简单轻便。
• 风险检测：能够识别未声明的外部主机连接、读取 ~/.ssh 和令牌文件的行为、npm 的 postinstall 钩子、base64/eval 风格的混淆代码以及意外出现的二进制文件。
• 清晰输出：通过红、黄、绿三种颜色直观展示安全等级，让开发者一目了然。
• 开源免费：采用 MIT 许可证，开发者可自由使用和修改。

适用场景

skillvet 适用于所有涉及 AI 代理技能和 MCP 服务器的开发与部署场景。无论是个人开发者还是企业团队，在引入第三方技能或自研技能时，都可以使用 skillvet 进行安全预检，有效防止供应链攻击和数据泄露。尤其适合在 CI/CD 流程中集成，作为自动化安全门禁，确保只有通过安全审查的技能才能被部署。