CMIC Skill Scanner
审计AI技能包安全，支持多引擎与LLM语义分析。
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：CMIC Skill Scanner。 它的用途是：审计AI技能包安全，支持多引擎与LLM语义分析。 完整的 Skill 内容见：https://321skill.com/skills/cmic-skill-scanner-x-7/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
‘使用CMIC Skill Scanner的native引擎，并启用LLM分析，审计这个即将安装的“自动交易策略”技能包。’ 它会首先解包并静态扫描代码中的危险函数调用、硬编码密钥等常见问题，然后通过LLM分析代码逻辑，判断其是否存在非常规的数据上传或权限提升风险，最终生成一份包含风险等级和建议的详细报告。
介绍
CMIC Skill Scanner 是一款专注于AI技能包安全审计的工具，旨在解决用户在安装和使用未经审核的AI技能时可能面临的安全风险。它能够对技能包或归档文件进行深度扫描，识别潜在的恶意代码、权限滥用或隐私泄露问题，帮助用户在集成新功能前建立安全防线。
该工具提供三种审计引擎：auto（自动选择）、native（本地分析）和external（外部调用）。用户只需指定待扫描的技能包路径和引擎类型，即可启动审计。此外，还可选择启用LLM语义分析功能，对代码逻辑和意图进行更深层次的理解，以发现传统静态分析难以察觉的隐蔽风险。
它非常适合智能体开发者、运维工程师以及对AI应用安全性有高要求的产品经理。开发者在引入社区技能或第三方模块时，可用其进行前置安全检查；运维人员可将其集成到CI/CD流程中，作为代码合并或部署前的安全门禁；产品经理则能借助其报告评估第三方组件的风险等级。
使用建议：对于高度敏感或业务核心场景，建议组合使用native引擎与LLM语义分析，以获得最全面的审计结果。注意事项：审计深度和准确性受所选引擎及LLM能力影响，对于极其复杂或混淆过的代码，可能需要结合手动审查。该工具主要进行静态分析，无法完全替代动态运行时测试。
核心特点
核心区别在于提供了native、external和auto三种可切换的审计引擎，并创新性地集成了LLM语义分析选项，能够结合传统代码扫描与AI对代码意图的理解，从而更有效地识别逻辑层面的潜在风险，而非仅依赖模式匹配。
注意事项
不适合对已部署在运行中的、依赖动态生成代码或需要复杂环境交互的实时服务进行安全评估。
常见问题
LLM语义分析功能有什么用？
它能理解代码的潜在意图和逻辑，帮助发现传统扫描可能漏掉的、基于上下文的安全隐患，比如隐蔽的数据外传或条件触发的恶意行为。
auto引擎是如何选择审计方式的？
auto引擎会根据技能包的文件结构、依赖关系和元数据等信息，自动判断并选择最合适的本地(native)或外部(external)分析引擎来执行审计。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/cmic-skill-scanner-x-7/raw/index.md 读取 CMIC Skill Scanner 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/cmic-skill-scanner-x-7/raw/index.md（查看排版版本）