之前聊到技能市场有安全隐患，今天分享一下怎么给 AI 工具做安全审计。
安全现状
- 主流技能市场约 12% 的技能有安全问题
- 常见攻击手段：API Key 窃取、挖矿脚本、数据外传
- 伪装成热门分类（加密货币、视频工具等）
审计工具推荐
| 工具 | 功能 | 下载量 |
|---|---|---|
| Skill Vetter | 技能安全审查 | 3,500+ |
| Link Checker | URL 安全检测 | 2,100+ |
| Token Guard | API 调用监控 | 1,800+ |
手动审计要点
- 检查技能源码：有没有可疑的网络请求
- 查看权限声明：技能申请的权限是否合理
- 监控 Token 消耗：安装新技能后观察 Token 用量变化
- 检查环境变量：有没有读取不该读的配置
最佳实践
安装流程：搜索技能 → 查评价和下载量 → 安全扫描 → 沙箱测试 → 正式使用
养成好习惯，别装完就不管了。