我们不扫描技能。
我们检验扫描器。

技能靠信任来安装。而产生这种信任的工具从未被检验过。

智能体技能是一个告诉编码智能体该做什么的 Markdown 文件，通常旁边还附有脚本。人们把它们从 GitHub 安装到 Claude Code、Codex 和 MCP 宿主中——而且越来越多地由智能体自行安装。现在有好几个扫描器承诺给出判定——SAFE、CAUTION、DO NOT INSTALL——而这个判定正是被复制进 README 和策略文件的东西。

从来没人测量过这些判定。我们构建了一个语料库，让扫描器在上面运行，就像评级机构审计一个信用模型那样：用公开数据、固定版本，并在发布前通知厂商。

一个带有 scripts/ 目录的正常英语技能，得到的评分比一个读取你的 SSH 密钥并发送到某个 URL 的单文件样本还要差。

三项发现

1. 语言差异表现为具体的规则，而不是笼统的偏见。 一条规则几乎在每个俄语技能上触发，而在德语上从不触发；另一条在中文包上触发 112 次，在俄语上一次也没有；第三条只匹配英语文本。每一条都是可预测、可修复的人为产物——只要知道它的存在。没有任何其他已发表的技能扫描器基准按语言切分结果。
2. 文本攻击在除英语以外的所有语言中都能通过——或者在所有语言中都能通过。 用俄语、德语或中文写的“忽略你之前的指令”没有被任何一个引擎检出。范围蔓延在任何语言中都没有被任何引擎检出。
3. 静态评分跟随包的大小。 代码文件数与评分之间的秩相关系数为 0.71。仅含 Markdown 的技能：中位数 8，大多为 SAFE。六个及以上代码文件：中位数 100，无一 SAFE，43 个中有 38 个为“DO NOT INSTALL”。40 个攻击样本：中位数 29，最高 51。

完整表格与图表 →

从基准到公开记录

评分卡是第一项产出。它通向的服务很简单：粘贴一个 GitHub URL，得到一个页面——各引擎的判定并排呈现，我们已知为语言人为产物的发现项被相应标注，还有版本历史和一个随每次提交自动更新的徽章。