Was ist SkillSpector?
SkillSpector ist NVIDIAs Open-Source-Sicherheitsscanner für die Agent Skills, die Claude Code, Codex CLI, Gemini CLI und MCP-Clients nutzen. Du richtest ihn auf ein Git-Repository, eine URL, ein Zip, ein Verzeichnis oder eine einzelne SKILL.md, und er liefert einen Risikowert von 0 bis 100, einen Schweregrad und eine von drei Empfehlungen: SAFE, CAUTION oder DO NOT INSTALL. Er ist außerdem die Sicherheitsstufe von NVIDIAs Verified-Skills-Pipeline, die Skills scannt und signiert, bevor sie im Skills-Katalog von NVIDIA erscheinen.
Die Erkennung läuft in zwei Stufen. Die statische Analyse deckt 71 Muster in 17 Kategorien ab, mit Regex-Regeln, Python-AST-Prüfungen, Taint-Tracking, YARA-Signaturen und Live-Abfragen von CVEs bei OSV.dev. Eine optionale LLM-Stufe prüft die Befunde danach auf Kontext und Absicht; sie kann die Konfidenz eines Befunds erhöhen, entfernt aber nie einen. Die LLM-Analyse ist standardmäßig eingeschaltet und nutzt standardmäßig GLM-5.3 von Z.ai auf NVIDIAs build.nvidia.com, mit OpenAI, Anthropic, Bedrock, Gemini, Azure OpenAI, Ollama und den lokalen CLIs von Claude oder Gemini als Alternativen.
Das Repository wurde im März 2026 angelegt, steht unter Apache 2.0 und hat rund 23.700 GitHub-Sterne und 2.046 Forks. Es ist nicht auf PyPI: Installiert wird von GitHub mit uv oder als lokal gebautes Docker-Image, und es braucht Python 3.12 oder neuer. v2.13.2 erschien am 28. Oktober 2026, eines von 20 GitHub-Releases seit Juli 2026, und das Paket ist weiterhin als Alpha eingestuft.
Lohnt sich SkillSpector?
SkillSpector ist der gründlichste der offenen Skill-Scanner, die wir besprechen, und seine Stärke ist Tiefe, nicht Reichweite. Snyk Agent Scan durchsucht einen ganzen Rechner nach installierten MCP-Servern und Skills; SkillSpector nimmt sich einen einzelnen Skill vor und liest ihn genau, mit 71 Mustern in 17 Kategorien, von versteckten Anweisungen und Leerzeichen-Polstern bis zu reflektiven getattr-Aufrufen, Zugangsdaten, die in Netzwerkausgaben fließen, und umgeleiteten Paketquellen. Er führt den Skill nie aus. Schon das unterscheidet ihn von Agent Scan, das stdio-MCP-Server startet, um ihre Tool-Beschreibungen zu lesen.
Die Methode ist bewusst geschichtet. Elf statische Analyzer, Python-AST-Prüfungen, YARA-Regeln und OSV.dev-Abfragen erledigen den ersten Durchgang, den das README als hoch im Recall und mäßig in der Präzision beschreibt. Die LLM-Stufe bestätigt oder bestreitet danach jeden Befund, kann aber keinen löschen: Bestätigte Befunde gewinnen an Konfidenz, die übrigen bleiben mit dem Tag llm-unconfirmed im Bericht. Ein lauter Regex-Treffer zählt also weiter zum Wert. Der Prompt enthält Schutz gegen Jailbreaks durch Skills, die den Prüfer lenken sollen. Standardmäßig ist der Prüfer GLM-5.3 auf build.nvidia.com mit hohem Reasoning-Aufwand; bei Anthropic ist es claude-opus-4-6, und mit Ollama hält ein lokales llama3.1:8b die Dateien auf deinem Rechner.
Was NVIDIA nicht veröffentlicht, ist eine Trefferquote. Ciscos Skill Scanner meldet eigene Ergebnisse auf einem zurückgehaltenen Testsatz, darunter, dass Regeln allein 7,7 % der bösartigen Skills blockieren; SkillSpector zitiert nur die Forschung, auf der er beruht, in der 26,1 % von 31.132 analysierten Skills eine Schwachstelle hatten und 5,2 % wahrscheinlich bösartige Absicht zeigten. Das misst das Problem, nicht den Scanner. Fehlalarme sind im Design anerkannt, über Baseline-Dateien, die akzeptierte Befunde unterdrücken, und im Tracker, wo Issue #887 meldet, dass eine Erklärung zur Flugsicherheit als schädliche Anweisung markiert wurde. Die eigene Liste blinder Flecken im README nennt nicht englischen Text, Text in Bildern, kompilierten oder verschlüsselten Code und das Laufzeitverhalten.
Er ist für CI gebaut. SARIF-2.1.0-Ausgabe speist Code Scanning, und der Scan endet mit Code 1, wenn der Wert 50 übersteigt. Standardmäßig lässt er ein CAUTION-Ergebnis (21 bis 50) durch, eine strenge Schranke braucht also --fail-on-findings, --fail-on-incomplete oder --min-coverage. Ein MCP-Servermodus gibt einem Agenten ein scan_skill-Tool, mit dem er Skills vor der Installation prüft; sein HTTP-Transport hat keine Authentifizierung und bindet nur an Loopback. Das Tempo ist hoch, mit 20 Releases seit Juli 2026 und 136 offenen Issues und Pull Requests.
Gegenüber den beiden Scannern, die schon auf dieser Seite stehen, ist die Abwägung klar. Der von Snyk ist das bessere Inventar dessen, was installiert ist, der von Cisco ist offener darüber, wie viel er findet, und SkillSpector liest einen einzelnen Skill am genauesten, ohne Anbieterkonto und, wenn du willst, ganz ohne Modell.
Wo es sich lohnt
Ein Platform-Team, das 40 interne Claude-Code-Skills in einem Repository pflegt
Einen Merge blockieren, wenn eine Änderung an einem Skill Exfiltration oder versteckte Anweisungen einbaut
Führ skillspector scan ./skills --recursive --max-skills 50 --no-llm --format sarif --fail-on-findings in CI aus, weil die Standardgrenze bei 32 Skills liegt, und lade das SARIF ins Code Scanning hoch. Committe eine Baseline mit akzeptierten Befunden, damit nur neue den Build scheitern lassen; statische Scans halten Dateiinhalte auf dem Runner, OSV.dev erhält aber weiterhin die Namen der Abhängigkeiten.
Eine Security-Engineerin, die einen Marketplace-Skill für eine Engineering-Organisation mit 200 Personen freigibt
Entscheiden, ob ein Skill eines Drittanbieters firmenweit sicher installiert werden kann
Scanne die GitHub-URL mit LLM-Analyse über das Bedrock- oder Azure-OpenAI-Konto der Firma, damit die Inhalte unter den bestehenden Datenbedingungen bleiben, und lies dann die Empfehlungsstufe und die llm-unconfirmed-Tags statt nur des Werts. Die Kosten sind Modell-Tokens, die der JSON-Bericht pro Aufruf festhält.
Ein Entwickler mit Claude Code, der fast jede Woche Community-Skills hinzufügt
Den Agenten einen Skill prüfen lassen, bevor er ihn installiert
Installiere mit dem Extra mcp und registriere es mit claude mcp add skillspector -- skillspector mcp; der Agent ruft scan_skill auf und erhält safe_to_install sowie einen Hinweis, ob der Scan nur statisch war. Kostenlos; bleib bei stdio, weil der HTTP-Transport keine Authentifizierung hat.
Bevor du dich festlegst
- Einrichtung
- uv tool install git+https://github.com/NVIDIA/skillspector.git unter Python 3.12+, oder das mitgelieferte Dockerfile bauen; --no-llm liefert einen statischen Scan ganz ohne Schlüssel. Die LLM-Analyse braucht SKILLSPECTOR_PROVIDER und die Zugangsdaten dieses Anbieters.
- Integrationen
- Ausgabe im Terminal, als JSON, Markdown und SARIF 2.1.0; ein MCP-Server über stdio oder Loopback-HTTP; Erweiterungen für Pi und OpenCode; eine Python-API über seinen LangGraph-Workflow; 12 nutzbare LLM-Anbieter, darunter Ollama, Bedrock, Azure OpenAI und die lokalen CLIs von Claude und Gemini.
- Daten und Datenschutz
- Die standardmäßig eingeschaltete LLM-Analyse schickt die Inhalte der analysierbaren Dateien an den konfigurierten Anbieter; --no-llm hält sie lokal. Die Prüfung SC4 schickt Namen und Versionen von Abhängigkeiten auch im statischen Modus an OSV.dev. Berichte werden mit den Rechten 0600 geschrieben. Apache 2.0.
- Kosten im großen Maßstab
- Keine kostenpflichtige Edition. Statische Scans kosten CI-Minuten; LLM-Scans kosten Anbieter-Tokens pro Skill, die der JSON-Bericht pro Aufruf festhält. Die Standardfrist für einen Scan beträgt 18 Minuten.
- Grenzen
- Keine veröffentlichten Genauigkeitswerte; 136 offene Issues und Pull Requests; nicht englischer Text, Bilder, kompilierter Code und Laufzeitverhalten liegen außer Reichweite; rekursive Scans stoppen standardmäßig bei 32 Skills; NVIDIAs Dokumentationsseite nennt noch 68 Muster gegenüber den 71 im README.
Was gut ist
- Führt den gescannten Skill nie aus
- 71 Muster mit AST, Taint-Tracking, YARA und OSV.dev-Abfragen
- SARIF-Ausgabe und dokumentierte Exit-Codes für CI-Schranken
- Die LLM-Stufe kann ein lokales Ollama-Modell nutzen oder entfallen
Was nicht
- Die LLM-Analyse ist standardmäßig an und schickt Dateiinhalte an den Anbieter
- Keine veröffentlichten Erkennungs- oder Fehlalarmquoten
- Nicht auf PyPI; Installation von GitHub, braucht Python 3.12+
- Der Standard-Exit-Code lässt CAUTION-Ergebnisse durch
Am besten für
Teams, die Agent Skills installieren oder veröffentlichen und eine statische Schranke in CI wollen, mit optionaler Prüfung durch ein Modell, ohne sich bei einem Sicherheitsanbieter anzumelden.
Alternativen zu SkillSpector
SkillSpector: häufige Fragen
- Lohnt sich SkillSpector?
- Der Skill-Scanner, den du deinen Installationen vorschalten solltest, solange du nicht vergisst, dass seine LLM-Stufe die Dateien des Skills an build.nvidia.com schickt, wenn du nicht den Anbieter wechselst oder --no-llm setzt. Wir bewerten es mit 4.1 von 5.
- Was kostet SkillSpector?
- Kostenlos und Open Source unter Apache 2.0. Die LLM-Analyse läuft über dein eigenes Anbieterkonto (standardmäßig build.nvidia.com) oder ein lokales Modell über Ollama.
- Welche Nachteile hat SkillSpector?
- Die LLM-Analyse ist standardmäßig an und schickt Dateiinhalte an den Anbieter; Keine veröffentlichten Erkennungs- oder Fehlalarmquoten; Nicht auf PyPI; Installation von GitHub, braucht Python 3.12+; Der Standard-Exit-Code lässt CAUTION-Ergebnisse durch.
- Für wen eignet sich SkillSpector?
- Teams, die Agent Skills installieren oder veröffentlichen und eine statische Schranke in CI wollen, mit optionaler Prüfung durch ein Modell, ohne sich bei einem Sicherheitsanbieter anzumelden.
- Was kostet SkillSpector für ein Team oder im Produktivbetrieb?
- Keine kostenpflichtige Edition. Statische Scans kosten CI-Minuten; LLM-Scans kosten Anbieter-Tokens pro Skill, die der JSON-Bericht pro Aufruf festhält. Die Standardfrist für einen Scan beträgt 18 Minuten.
- Ist SkillSpector sicher für Firmendaten?
- Die standardmäßig eingeschaltete LLM-Analyse schickt die Inhalte der analysierbaren Dateien an den konfigurierten Anbieter; --no-llm hält sie lokal. Die Prüfung SC4 schickt Namen und Versionen von Abhängigkeiten auch im statischen Modus an OSV.dev. Berichte werden mit den Rechten 0600 geschrieben. Apache 2.0.
- Was sind die besten Alternativen zu SkillSpector?
- Die nächsten Alternativen, die wir getestet haben, sind Snyk Agent Scan, Cisco Skill Scanner und CC Safety Net.
Antworten geprüft am 31. Okt. 2026.