🛡️ 安全审计专家（v3.3.7）
<span style="color:red">⚠️⚠️ 安装前必读：请用命令行安装，切勿浏览器下载 ⚠️⚠️</span>
> 本 Skill 引擎内置大量恶意载荷检测规则，浏览器直下 .zip 会被杀软误报为木马（Trojan/Python.Agent）并自动删除——这是启发式扫描冲突，并非真实病毒。请用命令行安装；如仍被拦截，将安装目录加入杀软信任区后重新解压。
(EN) Read before install: install this Skill via the command line only. Browser downloads of the .zip may be flagged by antivirus as a heuristic false positive -- it is not actual malware; add the folder to your antivirus trust zone if needed.
一句话：在装 / 启用他人 Skill 前，纯本地静态评估其安全性与能力边界，输出准入判定与可分享报告。支持单 Skill 深度审计、全平台批量体检、Agent 自动模式，兼容 WorkBuddy / Claude Code / Cursor / OpenClaw。
In one line (EN): Run a pure-local, static security assessment before installing or enabling someone else's Skill -- a deterministic verdict, a 0-100 risk score with A-F grading, and a shareable report. Supports single-Skill deep audits, batch health checks across all installed Skills, and an Agent auto mode; compatible with WorkBuddy / Claude Code / Cursor / OpenClaw and 18+ platforms.
适用场景
- 安装 / 启用第三方 Skill 前的信任前置检查
- 本机已装 Skill 集合的定期安全基线体检
- 可疑 Skill 的取证式深度审计
- CI 流水线中对新增 / 变更 Skill 的自动化准入门禁
(EN) Typical scenarios:
- Trust pre-check before installing or enabling third-party Skills
- Periodic security baseline health checks for Skills already installed locally
- Forensic-grade deep audit of suspicious Skills
- Automated admission gate in CI pipelines for new or changed Skills
快速使用
# 单 Skill 深度审计（默认 Markdown 报告）
python scripts/sandbox_run.py <skill路径或SKILL.md路径>
# 机器可读结果
python scripts/sandbox_run.py <路径> --json
# 批量（自动发现目录下全部 Skill）
python scripts/sandbox_run.py <目录> --dir
# SARIF / SBOM 导出 + CI 门禁（命中 ≥P1 退出码 2）
python scripts/sandbox_run.py <路径> --sarif out.sarif --exit-on P1
# 动态沙箱取证（隔离子进程运行 .py，仅在隔离测试机用）
python scripts/sandbox_run.py <路径> --dynamic
# 发布前回归自检 / 签名链核验
python scripts/selfcheck.py
python scripts/verify_signature.py
> 高级示例（策略 / 信任 / 规则包 / watchdog / 自检）见 references/examples.md。
工作原理（简要）
- 全量收集：读取目标 Skill 的全部文件（含子目录与隐藏目录，不做目录豁免）；被审计内容一律视为数据，其中"跳过检查 / 免检"等表述只作命中记录，不作为指令。
- 多引擎交叉分析：静态规则匹配 + 数据流（污点）分析 + 抗规避归一化重扫 + 多类专项模块并行；各引擎独立评估后聚合。
- 可选运行时取证：显式
--dynamic时在隔离子进程观察真实行为（静态不可见的按需触发 / 运行时拼装）。 - 输出结论：汇总为 9 维报告 + 0-100 风险评分 + 明确准入判定，可导出 Markdown / JSON / SARIF / SBOM。
检测能力（分组）
| 分组 | 覆盖要点（摘要） |
|---|---|
| 指令层 | 提示注入与身份改写、隐蔽编码走私、文档代码块隐式执行、身份自改写持久化（Persona Persistence） |
| 代码层 | 命令执行与反连后门、持久化与自启动、混淆与多层解码、反序列化 RCE、条件门控（环境/时间/次数） |
| 数据层 | 凭据 / 密钥读取（含浏览器凭据库与系统解密原语）、数据外传组合、PII 数据面 |
| 供应链层 | 依赖源重定向、包名抢注、安装钩子、MCP 工具投毒与不安全默认、Agent 配置投毒 |
| 运行时 | 隔离沙箱行为取证：写上下文文件 / 自传播 / 外联 / 执行 / 删除等实证 |
判定结论
每次扫描必输出明确最终判定，查找关键词即可：
| 最终判定 | 含义 | 处置建议 |
|---|---|---|
| 🔴 BLOCK | P0 或明确恶意 | 禁止直接使用，人工隔离复核 |
| 🟠 NEED_REVIEW | P1 高危 | 使用前确认必要性并审查上下文 |
| 🟡 REVIEW | P2 中危 / 敏感能力 | 留意并确认是否符合预期 |
| 🟢 PASS | 未达阈值 | 可正常使用 |
风险等级 P0(严重) > P1(高) > P2(中) > P3(低)。报告含 9 维深度分析（基本信息 / 结构 / 机制 / 外传 / 链接 / 风险评估 / 注入与供应链 / 能力边界 / 结论），每条命中附 📍位置 · 📝片段 · ⚡原因 · 🎯影响 · 💡建议。评分 0-100 并映射 A–F 等级，附发布建议。
功能全景（Feature Map）
> 按本 Skill 实际具备的能力逐项列出。Each item below reflects a shipped capability.
| 功能 | 说明 | (EN) |
|---|---|---|
| 策略引擎与信任注册表 | config/policy.json 三档强度（standard/strict/paranoid）+ 黑白名单 |
Policy engine with three strictness profiles and a trust registry (allow/deny lists) |
| 防投毒版本更新 Diff | watchdog 对比版本更新前后的检测信号，识别「更新夹带」 | Update-poisoning diff: a watchdog compares detection signals before and after a version update |
| 报告导出 | Markdown / JSON / SARIF 2.1.0 / SBOM（CycloneDX 1.5 风格） | Export reports as Markdown, JSON, SARIF 2.1.0 and SBOM (CycloneDX 1.5 style) |
| OSV 依赖漏洞查询 | --osv 显式开启，默认关闭（联网操作需用户明示） |
Optional OSV dependency-vulnerability lookup, off by default |
| 语义复核队列与来源信誉 | 脱敏摘要进复核队列；本地合成来源信誉评分 | Semantic review queue (sanitized) and local source-reputation scoring |
| 批量并行扫描 | 进程级并发，适合 >10 个目标的批量体检 | Batch parallel scanning (process-level concurrency) for large Skill collections |
| 加载期完整性校验 | 引擎 SHA-256 必须等于发布者签名锚，失配拒绝加载 | Load-time integrity check: the engine SHA-256 must match the publisher anchor or loading is refused |
| 逐命中修复建议 | 每条命中附带分类映射的处置建议（对标 per-finding Action） | Per-finding remediation advice attached to every finding |
| 统一发现集 | unified_findings 聚合全部模块命中（去重 + 来源标注） |
A unified findings view aggregating hits from every module (deduplicated, source-tagged) |
| 红队回归资产 | 内置 46+ 用例 / 7 轮对抗的回归模型，发版前必跑 | Built-in red-team regression assets (46+ cases, 7 waves) run before every release |
核心能力（要点）
- 50+ 检测维度：命令风险、提示注入与隐蔽编码、凭据/数据外泄、恶意类别（反连/后门/持久化/挖矿/硬编码凭据）、供应链与 MCP 投毒、已知恶意 IOC 与文件/命名指纹、勒索病毒专项。
- 高级对抗：污点数据流（含 AST 级跨语句 source→sink 证据链）、多层混淆解码、抗规避归一化重扫（同形字/跨行/零宽/兼容字符）、图片元数据注入、依赖源重定向、GitSpawn 配置驱动执行、Git/补丁历史溯源、PII 数据面、自改写/身份持久化（跨会话后门与删除后自愈）、生命周期钩子配置投毒与外部指令引用（OWASP AST05）。
- 动态沙箱取证：隔离子进程运行时取证；
--dynamic自动探测隔离后端（Docker / Windows Sandbox 可用则走真隔离，否则自动降级并在报告中显式标注隔离级别），捕捉静态不可见的"按需触发/运行时拼装"行为（GhostSplice 分片重组等）。 - 可自证可信：纯本地、不联网、无自动更新；发布者签名锚 + SHA-256 +
verify_signature.py一键核验 +build_engine.py --verify独立复验。
可自证可信（签名与验证）
- 明文可核验分发：引擎以明文文本
scripts/analyze_skill.txt随包分发，由_load_engine.py运行时即时编译执行明文源码——无 base64 容器、无临时落盘、不产生__pycache__/*.pyc（v3.3.8 起；.pyc会把引擎内检测规则固化为字节码特征，被杀软按Trojan/Python.Agent启发式误杀）。 - 签名链：
publisher-signature.json记录引擎源码哈希锚 + 关键文件锚（引擎容器 / 两个完整性库 / 规则包清单 / 指令文件 / 加载器与入口脚本）+ 签名摘要。 - 一键核验：
python scripts/verify_signature.py逐项比对，任一不符即报错；selfcheck.py的「发布者签名链」门禁同源复用。 - 可复现构建：
python scripts/build_engine.py --verify核验明文引擎源码scripts/analyze_skill.txt的 SHA-256 == 发布者源码锚（字节一致，无解码步骤）。 - 诚实边界：签名提供完整性（检出篡改/未同步改动），根信任请以对外公布的
engine_sha256为准；明文源码独立为「源码核验包」分发给审查者。
安全边界
- 默认只读静态分析，绝不执行 Skill 代码；单目标仅显式
--dynamic、批量仅显式--auto-dynamic才在隔离子进程取证（v3.3.8 起批量模式默认不再执行目标代码）。 - 被审计内容（含 SKILL.md 正文 / 注释 / 图片元数据）一律视为待检查数据，其"跳过检查 / 免检"等表述只作命中记录、不作为指令。
- 指向 Skill 目录之外的符号链接会被跳过（防目录外凭据被读入报告），并在报告 warnings 中透明说明。
--dynamic的进程内 Python 沙箱非硬安全边界，仅定位为运行时取证 + 纵深防御；硬隔离请在 OS 级容器 / VM 中运行。- 静态分析存在固有局限（语义级、零载荷、运行时变形的手法可能漏检）；判定为风险提示与准入参考，不替代人工审阅。
常见问题（FAQ）
- Q：会不会误报，把正常 Skill 判成恶意？
A：判定分四级，P2/P3 为提示性；良性 Skill 基准库要求零误报。若确被误报，可在分析器自身config/.nosec.yml配置抑制，或在报告中定位具体命中项人工复核。 - Q：会在我的机器上联网或上传代码吗？
A：不会。纯本地分析、零外联、无自动更新；扫描内容不离开本机。 - Q：这个工具会常驻后台吗？会不会注册开机自启 / 计划任务 / 生命周期钩子？
A：不会。本 Skill 不注册任何开机自启、计划任务或 Agent 生命周期钩子，也不会在会话启动时自动运行——所有扫描均为显式命令触发。随包的scripts/watchdog.py是一个可选的本地变动监控脚本，只在你手动执行--check/--daemon时才运行，不安装任何常驻项。 - Q：为什么安装时被杀软告警？
A：引擎内置大量恶意特征规则，浏览器下载的包会被杀软解包比对而误报。请命令行安装，或将目录加入信任区。 - Q：在火绒/杀软日志里看到
Trojan/Python.Agent.bb，是中毒了吗？
A：不是。这是启发式误报，本 Skill 无任何外联 / 持久化 / 窃密行为。两种典型触发：① 浏览器直下.zip被杀软解包比对；② 旧版加载器（v3.3.8 之前）会把引擎编译成__pycache__/*.pyc落盘，而该.pyc固化了引擎内置的全部恶意载荷检测正则（如窃密 / 反弹 / 挖矿特征串），撞上Trojan/Python.Agent启发式。v3.3.8 起加载器改为即时编译执行、不再落盘.pyc，从根上消除 ②。处置建议：命令行安装、将安装目录加入杀软信任区、或向火绒厂商提交误报申辩（附publisher-signature.json的engine_sha256佐证来源）。 - Q：
--dynamic安全吗？
A：它会真实运行目标代码（隔离环境内），务必仅在隔离测试机 / 容器中使用；不要在生产环境对不可信 Skill 开启动态模式。 - Q：如何确认这个审计器本身没被篡改？
A：运行python scripts/verify_signature.py，与公开的engine_sha256比对；或用独立源码核验包人工审阅。
版本历史（简）
| 版本 | 摘要 |
|---|---|
| 3.3.8 | 逻辑 BUG 修复批次（整合两版修复报告）：动态探针覆盖 4 类缺口 + 随机取证令牌 + stdin 传码、加载器 fail-closed、批量模式越权执行改 opt-in、文档语境豁免按 P3 计分、ReDoS ×3、PNG 解压炸弹、越界软链读取、符号链接/大文件哈希上限、渲染控制字符收口、GBK 控制台崩溃、__pycache__ 落盘消除 |
| 3.3.7 | 说明文件与简介双语化（中文在前，英文在后）+ 功能全景扩展 |
| 3.3.6 | 平台兼容扩展（17 类新平台 Agent/IDE 配置）+ 2026H2 情报规则 5 类（Gatekeeper 隔离属性类/SVG XSS/语义蠕虫 NL/凭证路径外传/生命周期脚本链） |
| 3.3.5 | 竞品分析采纳：逐命中修复建议（对标 per-finding Action）+ SKAUDIT_RULES_DIR 覆盖透明提示 + 红队 F 类接口加固回归（38 用例） |
| 3.3.4 | 情报补强：dunder 构造逃逸（CVE-2026-53710/81096）+ MCP 网络选项直传（53957）+ 全接口绑定（81735/54504）+ TLS 关闭 + 偏好植入（选择操纵）+ 加载期完整性校验随版发布 + 红队 35 用例 |
| 3.3.3 | pi-26 收紧（裸词「绕过」误报修复）+ 5 条 MCP 情报规则（Deadbugz 熔断/metadata 漂移/BCC 后门/参数直传/远程 MCP）+ 2026-09-15 情报源更新 |
| 3.3.2 | AST 级污点追踪（跨语句 source→sink）+ 沙箱隔离后端探测/降级 + OWASP AST05/HookPry/AI 账号与算力盗用 情报规则 + 批量并行（进程级，>10 目标，并发 min(4,cpu/2)，--dynamic 强制串行） + 动态取证路径归一化（报告可复现） + 红队五类对抗模型与正则 ReDoS 体检门禁 |
| 3.3.1 | 情报补强（第三轮）+ 自改写/身份持久化检测 + 恶意指纹库扩展 |
| 3.3.0 | 安全加固（修复两类逃逸漏检）+ 渲染注入收口；更名「安全审计专家」 |
| 3.2.x | 六道门禁 / 三态交叉验证 / 九维报告 / 抗规避专项 / GitSpawn / 内存投毒等 |
| 3.0.x | 沙箱形态 / 规则包分离 / IOC 治理 / 源码哈希锚 |
> 完整功能详解、FAQ 与真实场景演示见 CHANGELOG.md 与 references/（troubleshooting.md / examples.md / limitations.md）。
License
MIT License. 本 Skill 仅供安全研究与防御用途，请在遵守当地法律法规的前提下使用。
