AI 技能本地安全扫描器

为 AI 代理技能提供本地静态安全扫描，发现潜在风险后再使用

痛点

Agent 生态爆发，社区涌现大量可复用的技能（skills），但没有人知道这些技能是否安全。用户直接安装使用可能引入数据泄露、越权操作等风险。目前缺乏本地化的安全审计工具。

方案

一个本地 CLI 工具，对下载的 AI 代理技能包进行静态风险扫描。它检查技能中的网络请求、文件访问、命令执行和敏感数据读取等模式，生成风险报告并给出使用建议。用户可以将其集成到安装流程中。

用户

使用 AI 代理技能包的开发者和团队，尤其是对安全敏感的企业用户

MVP

解析技能包元数据和代码；检测网络请求、文件读写、命令执行等风险模式；生成风险等级报告；支持批量扫描本地技能目录；输出可读的 CLI 报告和 JSON

变现

开源核心 + 付费企业版（批量扫描、策略定制、CI 集成）

为何现在

AI 代理技能生态正在快速扩张，但安全工具严重滞后；独立开发者可以快速构建静态分析规则，无需复杂基础设施