已安装 Skill 安全巡检
对已经落到本机或项目里的 Skill 做一次可重复、可留档的只读巡检。重点回答“装了什么、它能做什么、哪里值得复核”，而不是笼统宣布安全或不安全。
运行条件：Python 3.10+，仅使用标准库，支持 Windows、macOS 和 Linux。
适用边界
- 用于批量巡检包含
SKILL.md的已安装技能目录。 - 不执行被检 Skill，不导入其代码，不访问其声明的外部地址。
- 不扫描整块磁盘或整个用户主目录；只处理用户明确给出的目录，或
--auto找到的常见技能目录。 - 静态命中是复核线索，不等于恶意定性。高风险结论必须附文件、行号、规则和原因。
运行前完整性检查
先确认当前 Skill 目录内存在且可读取 scripts/skill_guard.py。若文件不存在，立即停止并明确报告“Skill 包不完整，请重新安装完整版本”。不得临时编写、下载或使用所谓“等价实现”替代，因为那会改变本 Skill 的检查规则和结果口径。
操作流程
- 确认范围。用户已给目录时直接使用；未给目录时可使用
--auto发现常见 Agent 技能目录。不要为了“更全面”扩大到整个用户目录。 - 选择被检目录之外的报告目录，运行：
text
python scripts/skill_guard.py audit-installed --root <技能根目录> --output <报告目录>
多个根目录重复传入 --root；未给路径且用户同意自动发现时运行：
text
python scripts/skill_guard.py audit-installed --auto --output <报告目录>
- 读取生成的
installed-skill-audit.md和installed-skill-audit.json。退出码0表示扫描完成且未发现高危/严重项；2表示扫描完成但存在需要立即复核的高危/严重项；1才表示运行失败。 - 先给用户结论摘要，再列出需要复核的 Skill、能力与证据。不要在回复中暴露疑似密钥原文。
报告判断
优先关注以下组合，而不是只看单条关键词：
- 读取凭据或环境变量，同时具备对外发送能力。
- 下载远程内容后交给命令解释器执行。
- 出现广泛删除、持久化、绕过确认或隐藏行为。
- 安装来源、版本或文件清单无法解释。
风险分级、误报处理和人工复核问题见 references/risk-model.md。
输出要求
最终说明至少包含：扫描范围、发现的 Skill 数、总体风险、需要复核的前三项、未覆盖的限制、报告文件位置。没有高危项时应说“未发现已知高危静态迹象”，不要说“绝对安全”。
