CMIC Skill Scanner (Linux x64)
审计待安装skill包的安全与合规性
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：CMIC Skill Scanner (Linux x64)。 它的用途是：审计待安装skill包的安全与合规性 完整的 Skill 内容见：https://321skill.com/skills/cmic-skill-scanner-linux-x64-x-4/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'审计这个 skill 包，使用 auto 引擎并启用 LLM 语义分析，重点关注硬编码密钥和恶意脚本。' 它会下载并解压包内容，先用 auto 引擎快速扫描特征模式，再通过 LLM 分析可疑代码片段，最终输出一份包含风险等级、问题位置和修复建议的安全报告。
介绍
在安装第三方Skill包或归档文件时，安全风险往往难以预判——恶意代码、硬编码密钥、配置漏洞都可能被引入你的开发环境。CMIC Skill Scanner 专门解决这一问题，它能在安装前对包进行静态审计，支持 auto、native、external 三种引擎模式，并可选接入 LLM 进行语义层面的深度分析，帮助你发现传统规则扫描遗漏的隐藏风险。
使用方式非常简单：直接指定待扫描的 skill 包或归档路径，选择引擎模式（auto 自动判断、native 原生引擎、external 外部引擎），如需 LLM 分析则传入 API Key 即可。扫描结果会以结构化报告输出，列出风险等级、问题类型和修复建议。整个过程无需安装依赖，在 Linux x64 环境下一键运行。
本工具适合运维工程师、安全工程师、测试人员以及后端开发者在 CI/CD 流程中集成使用。如果你经常从社区下载第三方 Skill 包，或者需要确保内部归档包在分发前经过安全审查，这个工具能显著降低引入安全漏洞的概率。
建议将扫描作为部署流水线的一个前置步骤，配合定期更新规则库使用。注意 LLM 分析会消耗额外 Token，建议仅在关键包或发现可疑模式时启用。对于运行时动态检测或非归档格式的包，本工具不适用。
核心特点
与同类静态扫描工具相比，CMIC Skill Scanner 支持三种引擎灵活切换，并首创了可选的 LLM 语义分析能力，能识别上下文相关的隐藏风险（如伪装成正常功能的恶意逻辑），而不仅仅是基于签名或正则的匹配。
注意事项
不适用于运行时动态检测或非归档格式的包，且 LLM 分析依赖外部 API 调用，可能增加延迟和成本。
常见问题
如何启用 LLM 语义分析？
在执行命令时添加 --llm-api-key 参数并提供你的 LLM API Key，工具会自动调用 LLM 对可疑片段进行语义解读。
支持哪些包格式？
目前支持常见的 skill 包归档格式（如 .zip、.tar.gz、.tgz）以及解压后的目录结构。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/cmic-skill-scanner-linux-x64-x-4/raw/index.md 读取 CMIC Skill Scanner (Linux x64) 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/cmic-skill-scanner-linux-x64-x-4/raw/index.md（查看排版版本）