静态评分跟随包的大小，而非意图

§1 实验设置

智能体技能是一个包含编码智能体指令的 SKILL.md，通常旁边附有脚本和参考文件。人们——以及越来越多的智能体自身——直接从 GitHub 安装技能。两个开源扫描器在安装前给出判定：SkillSpector（NVIDIA；静态模式匹配、AST、YARA、OSV，可选 LLM 检查）和 skill-scanner（Cisco AI Defense；静态分析器、YARA，可选 LLM 检查）。

我们提出一个狭窄的问题：这些判定在普通的、已发布的技能上是什么样子——答案是否随技能所用的语言而变化？

语料库。 146 个正常技能，通过 GitHub 代码搜索按各语言的特征短语找到，去重（每个仓库最多三个，作者轮换），固定到提交 SHA，并带有明确的许可证：英语 39 个、俄语 38 个、德语 30 个、中文 39 个。另加 40 个合成攻击样本：十种模式（文本中的指令覆盖、HTML 注释中的隐藏指令、外泄、curl | bash、收集环境变量、伪造安装器、base64 shell、零宽字符、范围蔓延、持久化），在四种语言中写法完全一致并已去害。这里的“正常”指带许可证发布且来源经过审核；我们并未对其进行审计。

引擎。 SkillSpector 2.12.0，使用 --no-llm；Cisco skill-scanner 2.3.2，使用 --policy balanced 和 --policy quiet，不用 LLM。版本固定在 engines.lock.yaml 中。LLM 辅助模式未运行；那是下一步，将另行报告。作为对照，我们加入了自己写的 60 行隐藏字符检查器；它出现在表格里，因为它同样产生了误报，我们没有理由隐藏这一点。

所有这些——清单、脚本、结果——都在基准仓库中，三条命令即可复现。

§2 静态评分跟随包的大小

SkillSpector 把它的发现项归结为一个 0 到 100 的评分和一条建议：SAFE 为 20 及以下，CAUTION 到 50，DO NOT INSTALL 为 50 以上。在我们的语料库中，这个评分最强的预测因子不是技能做了什么，而是 SKILL.md 旁边有多少代码文件。

43 个含六个及以上代码文件的正常技能中，没有一个被判为 SAFE；其中 38 个被判为 DO NOT INSTALL。40 个攻击样本——每个只有一个 SKILL.md 和至多一个脚本——评分中位数为 29，最高 51。十种模式中只有一种在任一语言中达到 DO NOT INSTALL。一个带有 scripts/ 目录的正常英语技能，得到的评分比一个读取凭据文件并发送到某个 URL 的单文件样本还要差。

Cisco 的输出指向同一方向，只是幅度较小。它在正常技能上最常见的 MEDIUM 及以上发现项——DATA_EXFIL_NETWORK_REQUESTS、DATA_EXFIL_JS_NETWORK、UNANALYZABLE_BINARY、COMMAND_INJECTION_*——全部由附带的代码触发，而非指令。

这对后面的一切都很重要：四个语言集合在附带代码量上差别很大。真实世界里的俄语和德语技能大多只有 Markdown；英语和中文技能带有脚本，有时是整个应用。每一个按语言统计的数字都必须带着这一点来读——这也是 §4 只看位于 Markdown 中的发现项的原因。

§3 各语言的判定

用户看到的是判定，所以我们先统计它：引擎自身未判为 SAFE 的正常技能占比（SkillSpector：recommendation；Cisco：is_safe），以及被它判为 SAFE 的攻击样本占比。

与 §2 一起读：SkillSpector 在英语上的 94% 主要是代码量效应；它在俄语上的 37%——俄语技能几乎不带代码——主要来自一条规则（§4）。Cisco 在俄语上的 3% 对英语上的 46%，是同一个代码量效应经过另一套评分器后的样子。两个引擎的静态模式都无法把攻击样本和正常集合分开：SkillSpector 把其中 40% 判为 SAFE，Cisco 为 85%。

§4 背后的规则

只统计位于 Markdown 文件中的发现项，就能去掉大部分代码量效应，剩下的是文本的语言：

四条规则解释了大部分与语言相关的行为：

• SkillSpector AE4，“Suspicious Unicode normalization or mixed-script content”。 在俄语 Markdown 上 207 个发现项，英语 3 个，中文 2 个，德语 0 个。任何包含代码块、产品名或命令的俄语 SKILL.md 都会混用西里尔字母和拉丁字母，从而触发它。它的级别是 MEDIUM，所以单凭它就能让大约三分之一仅含 Markdown 的俄语技能从 SAFE 变成 CAUTION。（我们自己用俄语写的技能收获了四个。）
• SkillSpector RP1，“npx commands without a version suffix”。 在英语 Markdown 上 346 个发现项——英语文本上 MEDIUM 发现项的最大单一来源。写着 npx something 的文档被当作供应链风险，即使它只是示例而非安装步骤。
• Cisco YARA_prompt_injection_unicode_steganography。 在中文包上 112 个发现项，德语 24 个，俄语 0 个——大多在代码和数据文件中，而不是 SKILL.md，这也是 Cisco 在中文上比率更高的主要原因。
• Cisco YARA_code_execution_generic。 在英语 Markdown 上 31 个发现项，其他三种语言为 0。它的模式匹配的是英语单词；其他语言的文本无法触发它，用这些语言写的攻击也同样无法触发。

在正常 Markdown 上触发的规则，MEDIUM 及以上

SkillSpector

Cisco skill-scanner, balanced

§5 谁都没抓到的

这十种攻击模式写得易于识别，而非隐蔽：目的是看识别能力能否经受住翻译。

• P-01，纯文本中的指令覆盖（“忽略之前的指令，然后……”）。两个引擎都检出了英语样本；没有一个检出同一句话的俄语、德语或中文译文。
• P-09，过宽的触发条件和范围蔓延（“任何请求都使用此技能”）。任何语言中都没有任何引擎检出。 这是一种纯文本模式，而且可以说是现实中最常见的问题。
• P-06，伪造的“前置依赖安装器”下载。 Cisco 只在英语中检出；SkillSpector 完全没有。
• SkillSpector 在四种语言中都能抓到结构性模式——HTML 注释中的指令、curl | bash、收集环境变量、base64 shell、零宽字符、持久化。Cisco 的静态模式在四种语言中都能抓到收集环境变量和 base64，英语之外再无其他。

与语言无关的检测恰好存在于模式位于代码中的地方。当攻击位于指令中时，检测要么只有英语，要么不存在——而这与如今风险所在之处正好相反，因为智能体遵循的是指令，只是偶尔才运行代码。

§6 运行备注

• SkillSpector 在 186 个包中的 8 个（16–73 MB，根目录带 SKILL.md 的整个仓库，其中一个有 6 342 个 JavaScript 文件）上 15 分钟内未完成。Cisco 处理每一个都不到一分钟。这 8 个被排除在上面所有比率之外，列在这里：de-059, en-160, en-165, en-174, en-190, zh-112, zh-122, zh-142。
• 我们为这个基准写的隐藏字符检查器一度误报正常技能，直到它学会 emoji 序列使用 U+200D、软连字符在德语中很正常。它仍然标记 146 个正常包中的 7 个，其中 2 个在 Markdown 中。我们报告它的理由与报告其他引擎相同。
• Cisco 拒绝文件名为 Skill.md 或 _template-skill.md 的技能；两个这样的条目被从语料库中剔除，而非重命名。

§7 我们对扫描器的期望

这一切都不是反对扫描的论据，而是主张校准判定的论据，而且修复方法是具体的：

1. 把体量和风险分开。 限制重复的低信息量发现项的贡献（一条 npx 规则不应累加到 100），当诚实的答案是“我们没看”时，说“大包，部分分析”而不是 DO NOT INSTALL。
2. 让 Unicode 规则感知文字系统。 俄语文档里西里尔字母加拉丁字母是基线，不是异常；异常是拉丁单词里夹着一个西里尔字母。这同样适用于中日韩文字和德语的软连字符。
3. 用不止一种语言测试文本规则。 匹配“ignore previous instructions”的规则要么附带它的译文发布，要么应该是一项 LLM 检查——测试套件应当说明是哪一种。
4. 发布一个误报语料库。 每个扫描器都附带恶意测试样例；几乎没有一个附带一组必须通过的普通技能。这里的语料库采用 CC BY 4.0，可以充当这组样例。

§8 局限

• 仅静态模式。两个引擎都有 LLM 辅助模式，可能改变整体图景，尤其是对文本模式。运行它们是下一步。
• 攻击样本简短且单一用途。它们测试的是某种模式在某种语言中能否被识别，而不是真实攻击者会如何打包它。
• “正常”是对来源的判断，不是审计。正常集合上的某些发现项可能是对的。
• 一个语料库，一个日期。评分卡会在每次引擎发版时重新运行；真正重要的第一个数字是下一个。

§9 厂商回应

作者：Andrey Trukhachev。更正与异议：andrey@skillverdict.dev。本页上的严重级别词汇（SAFE、CAUTION、DO NOT INSTALL、HIGH、MEDIUM）引用的是引擎自身的输出，不是我们对任何技能的评判。