Qu’est-ce que SkillSpector ?
SkillSpector est le scanner de sécurité open source de NVIDIA pour les skills d'agent utilisés par Claude Code, Codex CLI, Gemini CLI et les clients MCP. Vous le pointez vers un dépôt Git, une URL, un zip, un répertoire ou un seul SKILL.md, et il renvoie un score de risque de 0 à 100, une gravité et l'une de trois recommandations : SAFE, CAUTION ou DO NOT INSTALL. C'est aussi l'étage de sécurité du pipeline Verified Skills de NVIDIA, qui analyse et signe les skills avant leur publication dans le catalogue de skills de NVIDIA.
La détection se fait en deux étapes. L'analyse statique couvre 71 motifs répartis en 17 catégories, avec des règles regex, des contrôles d'AST Python, du suivi de taint, des signatures YARA et des recherches de CVE en direct auprès d'OSV.dev. Une étape LLM facultative examine ensuite les résultats selon le contexte et l'intention ; elle peut relever la confiance d'un résultat, mais n'en supprime jamais aucun. L'analyse LLM est activée par défaut et utilise par défaut GLM-5.3 de Z.ai sur build.nvidia.com de NVIDIA, avec OpenAI, Anthropic, Bedrock, Gemini, Azure OpenAI, Ollama et les CLI locales de Claude ou Gemini comme alternatives.
Le dépôt a été créé en mars 2026, est sous licence Apache 2.0 et compte environ 23 700 étoiles GitHub et 2 046 forks. Il n'est pas sur PyPI : il s'installe depuis GitHub avec uv ou sous forme d'image Docker construite en local, et demande Python 3.12 ou plus récent. La v2.13.2 est sortie le 28 octobre 2026, l'une des 20 versions GitHub publiées depuis juillet 2026, et le paquet reste classé Alpha.
SkillSpector vaut-il le coup ?
SkillSpector est le plus minutieux des scanners de skills ouverts que nous couvrons, et sa force tient à la profondeur plutôt qu'à l'étendue. Snyk Agent Scan passe en revue toute une machine à la recherche des serveurs MCP et des skills installés ; SkillSpector prend un seul skill et le lit de près, avec 71 motifs répartis en 17 catégories, des instructions cachées et du remplissage d'espaces aux appels réflexifs à getattr, en passant par des identifiants qui partent vers le réseau et des sources de paquets redirigées. Il n'exécute jamais le skill. Cela suffit à le distinguer d'Agent Scan, qui démarre des serveurs MCP stdio pour lire les descriptions de leurs outils.
La méthode est volontairement en couches. Onze analyseurs statiques, des contrôles d'AST Python, des règles YARA et des requêtes à OSV.dev assurent la première passe, que le README décrit comme à fort rappel et à précision modérée. L'étape LLM confirme ou conteste ensuite chaque résultat, mais ne peut en effacer aucun : les résultats confirmés gagnent en confiance, les autres restent dans le rapport avec l'étiquette llm-unconfirmed. Une détection regex bruyante continue donc de compter dans le score. Le prompt intègre des protections anti-jailbreak contre les skills écrits pour orienter le juge. Par défaut, le juge est GLM-5.3 sur build.nvidia.com avec un effort de raisonnement élevé ; chez Anthropic, c'est claude-opus-4-6, et avec Ollama un llama3.1:8b local garde les fichiers sur votre machine.
Ce que NVIDIA ne publie pas, c'est un taux de détection. Le Skill Scanner de Cisco communique ses propres résultats sur un jeu de test réservé, dont le fait que les règles seules bloquent 7,7 % des skills malveillants ; SkillSpector ne cite que la recherche sur laquelle il s'appuie, où 26,1 % de 31 132 skills analysés présentaient une vulnérabilité et 5,2 % une intention probablement malveillante. Cela mesure le problème, pas le scanner. Les faux positifs sont reconnus dans la conception, via des fichiers baseline qui suppriment les résultats acceptés, et dans le suivi des tickets, où l'issue #887 signale qu'une explication sur la sécurité aérienne a été classée comme instructions dangereuses. La liste des angles morts du README lui-même cite le texte non anglais, le texte dans les images, le code compilé ou chiffré et le comportement à l'exécution.
Il est conçu pour la CI. La sortie SARIF 2.1.0 alimente le code scanning, et l'analyse se termine avec le code 1 quand le score dépasse 50. Par défaut, un résultat CAUTION (de 21 à 50) passe, si bien qu'un contrôle strict demande --fail-on-findings, --fail-on-incomplete ou --min-coverage. Un mode serveur MCP donne à un agent un outil scan_skill pour vérifier les skills avant de les installer ; son transport HTTP n'a pas d'authentification et n'écoute que sur loopback. Le rythme est soutenu, avec 20 versions depuis juillet 2026 et 136 issues et pull requests ouvertes.
Face aux deux scanners déjà présents sur ce site, l'arbitrage est net. Celui de Snyk dresse le meilleur inventaire de ce qui est installé, celui de Cisco est plus franc sur ce qu'il détecte, et SkillSpector est celui qui lit un skill isolé avec le plus d'attention, sans compte chez un éditeur et, si vous le souhaitez, sans aucun modèle.
Là où il fait la différence
Une équipe plateforme qui maintient 40 skills Claude Code internes dans un seul dépôt
Bloquer un merge quand une modification de skill ajoute de l'exfiltration ou des instructions cachées
Lancez skillspector scan ./skills --recursive --max-skills 50 --no-llm --format sarif --fail-on-findings en CI, car la limite par défaut est de 32 skills, et envoyez le SARIF au code scanning. Commitez une baseline des résultats acceptés pour que seuls les nouveaux fassent échouer le build ; les analyses statiques gardent le contenu sur le runner, mais OSV.dev reçoit toujours les noms des dépendances.
Une ingénieure sécurité qui valide un skill de marketplace pour une organisation d'ingénierie de 200 personnes
Décider si un skill tiers peut être installé sans risque dans toute l'entreprise
Analysez l'URL GitHub avec l'analyse LLM passant par le compte Bedrock ou Azure OpenAI de l'entreprise, pour que le contenu reste sous les conditions de données existantes, puis lisez la tranche de recommandation et les étiquettes llm-unconfirmed plutôt que le seul score. Le coût, ce sont les tokens du modèle, que le rapport JSON enregistre par appel.
Un développeur sous Claude Code qui ajoute des skills communautaires presque chaque semaine
Faire vérifier un skill par l'agent avant qu'il ne l'installe
Installez-le avec l'extra mcp et enregistrez-le avec claude mcp add skillspector -- skillspector mcp ; l'agent appelle scan_skill et reçoit safe_to_install ainsi qu'un indicateur précisant si l'analyse était uniquement statique. Gratuit ; restez sur stdio, car le transport HTTP n'a pas d'authentification.
Avant de vous engager
- Mise en route
- uv tool install git+https://github.com/NVIDIA/skillspector.git sous Python 3.12+, ou construisez le Dockerfile fourni ; --no-llm donne une analyse statique sans aucune clé. L'analyse LLM demande SKILLSPECTOR_PROVIDER et les identifiants de ce fournisseur.
- Intégrations
- Sortie terminal, JSON, Markdown et SARIF 2.1.0 ; un serveur MCP en stdio ou en HTTP sur loopback ; des extensions Pi et OpenCode ; une API Python sur son workflow LangGraph ; 12 fournisseurs LLM utilisables, dont Ollama, Bedrock, Azure OpenAI et les CLI locales de Claude et Gemini.
- Données et confidentialité
- L'analyse LLM, activée par défaut, envoie le contenu des fichiers éligibles au fournisseur configuré ; --no-llm le garde en local. Le contrôle SC4 envoie les noms et versions des dépendances à OSV.dev même en mode statique. Les rapports sont écrits avec les droits 0600. Apache 2.0.
- Coût à grande échelle
- Pas d'édition payante. Les analyses statiques coûtent des minutes de CI ; les analyses LLM coûtent des tokens par skill, enregistrés par appel dans le rapport JSON. Le délai par défaut d'une analyse est de 18 minutes.
- Limites
- Aucun chiffre de précision publié ; 136 issues et pull requests ouvertes ; le texte non anglais, les images, le code compilé et le comportement à l'exécution restent hors de portée ; les analyses récursives s'arrêtent à 32 skills par défaut ; la page de documentation de NVIDIA indique encore 68 motifs contre 71 dans le README.
Les points forts
- N'exécute jamais le skill qu'il analyse
- 71 motifs avec AST, suivi de taint, YARA et requêtes OSV.dev
- Sortie SARIF et codes de sortie documentés pour les contrôles de CI
- L'étape LLM peut utiliser un modèle Ollama local, ou être omise
Les points faibles
- L'analyse LLM est activée par défaut et envoie le contenu des fichiers au fournisseur
- Aucun taux de détection ni de faux positifs publié
- Absent de PyPI ; s'installe depuis GitHub et demande Python 3.12+
- Le code de sortie par défaut laisse passer les résultats CAUTION
Idéal pour
Les équipes qui installent ou publient des skills d'agent et veulent un contrôle statique en CI, avec une revue facultative par un modèle, sans s'inscrire chez un éditeur de sécurité.
Alternatives à SkillSpector
SkillSpector : questions fréquentes
- SkillSpector vaut-il le coup ?
- Le scanner de skills à placer devant vos installations, à condition de garder en tête que son étape LLM envoie les fichiers du skill à build.nvidia.com si vous ne changez pas de fournisseur ou ne passez pas --no-llm. Nous lui donnons 4.1 sur 5.
- Combien coûte SkillSpector ?
- Gratuit et open source sous Apache 2.0. L'analyse LLM passe par votre propre compte fournisseur (build.nvidia.com par défaut) ou par un modèle local via Ollama.
- Quels sont les inconvénients de SkillSpector ?
- L'analyse LLM est activée par défaut et envoie le contenu des fichiers au fournisseur; aucun taux de détection ni de faux positifs publié; absent de PyPI ; s'installe depuis GitHub et demande Python 3.12+; le code de sortie par défaut laisse passer les résultats CAUTION.
- À qui s’adresse SkillSpector ?
- Les équipes qui installent ou publient des skills d'agent et veulent un contrôle statique en CI, avec une revue facultative par un modèle, sans s'inscrire chez un éditeur de sécurité.
- Combien coûte SkillSpector pour une équipe ou en production ?
- Pas d'édition payante. Les analyses statiques coûtent des minutes de CI ; les analyses LLM coûtent des tokens par skill, enregistrés par appel dans le rapport JSON. Le délai par défaut d'une analyse est de 18 minutes.
- SkillSpector est-il sûr pour les données de l’entreprise ?
- L'analyse LLM, activée par défaut, envoie le contenu des fichiers éligibles au fournisseur configuré ; --no-llm le garde en local. Le contrôle SC4 envoie les noms et versions des dépendances à OSV.dev même en mode statique. Les rapports sont écrits avec les droits 0600. Apache 2.0.
- Quelles sont les meilleures alternatives à SkillSpector ?
- Les alternatives les plus proches que nous avons testées sont Snyk Agent Scan, Cisco Skill Scanner et CC Safety Net.
Réponses vérifiées le 31 oct. 2026.