¿Qué es SkillSpector?
SkillSpector es el escáner de seguridad de código abierto de NVIDIA para los skills de agente que usan Claude Code, Codex CLI, Gemini CLI y los clientes MCP. Lo apuntas a un repositorio Git, una URL, un zip, un directorio o un único SKILL.md y devuelve una puntuación de riesgo de 0 a 100, una gravedad y una de tres recomendaciones: SAFE, CAUTION o DO NOT INSTALL. También es el nivel de seguridad del pipeline Verified Skills de NVIDIA, que escanea y firma los skills antes de publicarlos en el catálogo de skills de NVIDIA.
La detección funciona en dos fases. El análisis estático cubre 71 patrones en 17 categorías con reglas regex, comprobaciones de AST de Python, seguimiento de taint, firmas YARA y consultas de CVE en directo contra OSV.dev. Después, una fase LLM opcional revisa los hallazgos según contexto e intención; puede subir la confianza de un hallazgo, pero nunca lo elimina. El análisis LLM está activado por defecto y usa por defecto GLM-5.3 de Z.ai en build.nvidia.com de NVIDIA, con OpenAI, Anthropic, Bedrock, Gemini, Azure OpenAI, Ollama y las CLI locales de Claude o Gemini como alternativas.
El repositorio se creó en marzo de 2026, tiene licencia Apache 2.0 y cuenta con unas 23.700 estrellas en GitHub y 2.046 forks. No está en PyPI: se instala desde GitHub con uv o como imagen Docker construida en local, y necesita Python 3.12 o posterior. La v2.13.2 salió el 28 de octubre de 2026, una de 20 versiones en GitHub desde julio de 2026, y el paquete sigue clasificado como Alpha.
¿Merece la pena SkillSpector?
SkillSpector es el más minucioso de los escáneres de skills abiertos que cubrimos, y su fuerza está en la profundidad, no en el alcance. Snyk Agent Scan recorre una máquina entera en busca de servidores MCP y skills instalados; SkillSpector toma un solo skill y lo lee con detalle, con 71 patrones en 17 categorías, desde instrucciones ocultas y relleno de espacios en blanco hasta llamadas reflexivas a getattr, credenciales que fluyen hacia salidas de red y orígenes de paquetes redirigidos. Nunca ejecuta el skill. Solo eso ya lo separa de Agent Scan, que arranca servidores MCP stdio para leer las descripciones de sus herramientas.
El método está organizado en capas a propósito. Once analizadores estáticos, comprobaciones de AST de Python, reglas YARA y consultas a OSV.dev hacen la primera pasada, que el README describe como de alta exhaustividad y precisión moderada. Después, la fase LLM confirma o discute cada hallazgo, pero no puede borrar ninguno: los confirmados ganan confianza y el resto se queda en el informe con la etiqueta llm-unconfirmed. Un acierto ruidoso de una regex sigue contando para la puntuación. El prompt lleva protecciones antijailbreak frente a skills escritos para manipular al juez. Por defecto, el juez es GLM-5.3 en build.nvidia.com con esfuerzo de razonamiento alto; con Anthropic es claude-opus-4-6, y con Ollama un llama3.1:8b local mantiene los archivos en tu máquina.
Lo que NVIDIA no publica es una tasa de aciertos. El Skill Scanner de Cisco informa de sus propios resultados sobre un conjunto reservado, entre ellos que las reglas por sí solas bloquean el 7,7% de los skills maliciosos; SkillSpector solo cita la investigación en la que se basa, donde el 26,1% de 31.132 skills analizados tenía una vulnerabilidad y el 5,2% mostraba una intención probablemente maliciosa. Eso mide el problema, no el escáner. Los falsos positivos están reconocidos en el diseño, mediante archivos baseline que suprimen hallazgos aceptados, y en el gestor de incidencias, donde la issue #887 informa de que una explicación sobre seguridad aérea se marcó como instrucciones dañinas. La propia lista de puntos ciegos del README incluye texto que no está en inglés, texto dentro de imágenes, código compilado o cifrado y el comportamiento en ejecución.
Está pensado para CI. La salida SARIF 2.1.0 alimenta el code scanning, y el escaneo termina con código 1 cuando la puntuación supera 50. Por defecto deja pasar un resultado CAUTION (de 21 a 50), así que una barrera estricta necesita --fail-on-findings, --fail-on-incomplete o --min-coverage. Un modo de servidor MCP da al agente una herramienta scan_skill para revisar skills antes de instalarlos; su transporte HTTP no tiene autenticación y solo escucha en loopback. El ritmo es alto, con 20 versiones desde julio de 2026 y 136 issues y pull requests abiertos.
Frente a los dos escáneres que ya están en este sitio, el intercambio es claro. El de Snyk es el mejor inventario de lo que hay instalado, el de Cisco es más franco sobre cuánto detecta, y SkillSpector es el que lee un solo skill con más atención, sin cuenta de proveedor y, si quieres, sin ningún modelo.
Dónde se gana su sitio
Un equipo de plataforma que mantiene 40 skills internos de Claude Code en un solo repositorio
Bloquear un merge cuando un cambio en un skill añade exfiltración o instrucciones ocultas
Ejecuta skillspector scan ./skills --recursive --max-skills 50 --no-llm --format sarif --fail-on-findings en CI, porque el límite por defecto es de 32 skills, y sube el SARIF al code scanning. Haz commit de un baseline con los hallazgos aceptados para que solo fallen los nuevos; los escaneos estáticos mantienen el contenido en el runner, aunque OSV.dev sigue recibiendo los nombres de las dependencias.
Una ingeniera de seguridad que aprueba un skill de marketplace para una organización de ingeniería de 200 personas
Decidir si un skill de terceros es seguro para instalarlo en toda la empresa
Escanea la URL de GitHub con análisis LLM a través de la cuenta de Bedrock o Azure OpenAI de la empresa, para que el contenido quede bajo las condiciones de datos ya acordadas, y luego lee la franja de recomendación y las etiquetas llm-unconfirmed en lugar de quedarte solo con la puntuación. El coste son los tokens del modelo, que el informe JSON registra por llamada.
Un desarrollador en Claude Code que añade skills de la comunidad casi cada semana
Que el agente revise un skill antes de instalarlo
Instálalo con el extra mcp y regístralo con claude mcp add skillspector -- skillspector mcp; el agente llama a scan_skill y recibe safe_to_install más un indicador de si el escaneo fue solo estático. Gratis; quédate en stdio, porque el transporte HTTP no tiene autenticación.
Antes de decidirte
- Puesta en marcha
- uv tool install git+https://github.com/NVIDIA/skillspector.git con Python 3.12+, o construye el Dockerfile incluido; --no-llm da un escaneo estático sin ninguna clave. El análisis LLM necesita SKILLSPECTOR_PROVIDER y las credenciales de ese proveedor.
- Integraciones
- Salida en terminal, JSON, Markdown y SARIF 2.1.0; un servidor MCP por stdio o HTTP en loopback; extensiones para Pi y OpenCode; una API de Python sobre su flujo de LangGraph; 12 proveedores LLM utilizables, entre ellos Ollama, Bedrock, Azure OpenAI y las CLI locales de Claude y Gemini.
- Datos y privacidad
- El análisis LLM, activado por defecto, envía el contenido de los archivos aptos para análisis al proveedor configurado; --no-llm lo mantiene en local. La comprobación SC4 envía nombres y versiones de dependencias a OSV.dev incluso en modo estático. Los informes se escriben con permisos 0600. Apache 2.0.
- Coste a escala
- No hay edición de pago. Los escaneos estáticos cuestan minutos de CI; los escaneos LLM cuestan tokens del proveedor por skill, registrados por llamada en el informe JSON. El plazo por defecto de un escaneo es de 18 minutos.
- Límites
- Sin cifras de precisión publicadas; 136 issues y pull requests abiertos; el texto que no está en inglés, las imágenes, el código compilado y el comportamiento en ejecución quedan fuera de su alcance; los escaneos recursivos se detienen en 32 skills por defecto; la página de documentación de NVIDIA aún dice 68 patrones frente a los 71 del README.
Lo bueno
- Nunca ejecuta el skill que escanea
- 71 patrones con AST, seguimiento de taint, YARA y consultas a OSV.dev
- Salida SARIF y códigos de salida documentados para barreras de CI
- La fase LLM puede usar un modelo local de Ollama o saltarse
Lo malo
- El análisis LLM está activado por defecto y envía el contenido de los archivos al proveedor
- Sin tasas publicadas de detección ni de falsos positivos
- No está en PyPI; se instala desde GitHub y necesita Python 3.12+
- El código de salida por defecto deja pasar los resultados CAUTION
Ideal para
Equipos que instalan o publican skills de agente y quieren una barrera estática en CI, con revisión opcional por un modelo, sin darse de alta en un proveedor de seguridad.
Alternativas a SkillSpector
SkillSpector: preguntas frecuentes
- ¿Merece la pena SkillSpector?
- El escáner de skills que conviene poner delante de tus instalaciones, siempre que recuerdes que su fase LLM envía los archivos del skill a build.nvidia.com salvo que cambies de proveedor o uses --no-llm. Le damos un 4.1 sobre 5.
- ¿Cuánto cuesta SkillSpector?
- Gratuito y de código abierto bajo Apache 2.0. El análisis LLM usa tu propia cuenta de proveedor (build.nvidia.com por defecto) o un modelo local a través de Ollama.
- ¿Qué inconvenientes tiene SkillSpector?
- El análisis LLM está activado por defecto y envía el contenido de los archivos al proveedor; sin tasas publicadas de detección ni de falsos positivos; no está en PyPI; se instala desde GitHub y necesita Python 3.12+; el código de salida por defecto deja pasar los resultados CAUTION.
- ¿Para quién es SkillSpector?
- Equipos que instalan o publican skills de agente y quieren una barrera estática en CI, con revisión opcional por un modelo, sin darse de alta en un proveedor de seguridad.
- ¿Cuánto cuesta SkillSpector para un equipo o en producción?
- No hay edición de pago. Los escaneos estáticos cuestan minutos de CI; los escaneos LLM cuestan tokens del proveedor por skill, registrados por llamada en el informe JSON. El plazo por defecto de un escaneo es de 18 minutos.
- ¿Es SkillSpector seguro para los datos de la empresa?
- El análisis LLM, activado por defecto, envía el contenido de los archivos aptos para análisis al proveedor configurado; --no-llm lo mantiene en local. La comprobación SC4 envía nombres y versiones de dependencias a OSV.dev incluso en modo estático. Los informes se escriben con permisos 0600. Apache 2.0.
- ¿Cuáles son las mejores alternativas a SkillSpector?
- Las alternativas más cercanas que hemos analizado son Snyk Agent Scan, Cisco Skill Scanner y CC Safety Net.
Respuestas comprobadas el 31 oct 2026.