SkillSpector: NVIDIA Quer Escanear suas Skills Antes que você as Instale
Nos últimos meses começamos a instalar Skills com a mesma naturalidade com que há anos instalávamos pacotes de npm.
Um comando.
Um repositório.
Cinco segundos depois já fazem parte do nosso agente.
O problema é que uma Skill não é simplesmente um arquivo Markdown.
Pode conter:
-
instruções para o agente,
-
scripts,
-
acesso ao sistema de arquivos,
-
chamadas para ferramentas,
-
execução de comandos,
-
workflows completos.
Em outras palavras:
uma Skill executa com a mesma confiança que damos ao agente.
E aí aparece uma pergunta que quase ninguém se faz.
Você escaneou essa Skill antes de instalá-la?
A NVIDIA acredita que deveríamos começar a fazer isso.
Por isso publicou SkillSpector, um scanner open source projetado especificamente para analisar Skills de agentes antes que cheguem à sua máquina.
Por que existe?
O README começa com um dado bastante incômodo.
Pesquisas recentes sobre mais de 42.000 Skills publicados descobriram que:
-
26,1% continham pelo menos uma vulnerabilidade.
-
5,2% mostravam sinais de comportamento malicioso.
Isso muda completamente a conversa.
Até agora falávamos sobre:
-
prompt injection,
-
MCP Servers,
-
gateways,
-
sandboxes.
Agora aparece uma nova superfície de ataque.
As próprias Skills.
O que SkillSpector faz?
Pense nela como um Dependabot ou um Trivy…
…mas para Skills de agentes.
Em vez de perguntar:
“Este pacote tem uma CVE?”
ajuda a responder:
“É seguro instalar essa Skill?”
Pode analisar:
-
repositórios Git,
-
URLs,
-
arquivos ZIP,
-
diretórios locais,
-
arquivos individuais.
Que tipo de riscos detecta?
SkillSpector cobre 64 padrões de vulnerabilidade agrupados em 16 categorias.
Entre elas:
-
Prompt Injection
-
Data Exfiltration
-
Privilege Escalation
-
Supply Chain Attacks
-
Memory Poisoning
-
Rogue Agent Behavior
-
Tool Misuse
-
MCP Tool Poisoning
-
Trigger Abuse
-
Dangerous Code Patterns
-
System Prompt Leakage
Ou seja, não procura apenas malware tradicional.
Também entende ameaças específicas do ecossistema de agentes.
Análise em duas etapas
Um dos aspectos mais interessantes do projeto é que não depende exclusivamente de expressões regulares.
A análise ocorre em duas fases.
1. Análise estática
Busca rapidamente:
-
scripts suspeitos,
-
dependências vulneráveis,
-
uso de
exec, -
eval, -
chamadas perigosas,
-
padrões conhecidos.
Muito rápido.
Muito barato.
2. Análise semântica (opcional)
Quando uma regra estática não é suficiente, SkillSpector pode usar um LLM para responder perguntas como:
-
O comportamento corresponde à descrição da Skill?
-
Está tentando fazer mais coisas do que promete?
-
As instruções escondem ações inesperadas?
Isso ajuda a reduzir falsos positivos.
Instalação
SkillSpector pode ser instalado diretamente do PyPI.
pip install skillspector
Ou executado sem instalação usando uv:
uvx skillspector scan <caminho-da-skill>
Também suporta Docker para quem prefere isolar completamente o processo de análise. A documentação oficial inclui exemplos para todos os modos de execução.
Escaneando uma Skill
Por exemplo:
skillspector scan https://github.com/usuario/minha-skill
Ou em um diretório local:
skillspector scan ./skills/database-helper
Também pode analisar um ZIP baixado de um marketplace.
Integração com GitHub Actions
Um dos casos de uso mais interessantes é incorporá-lo ao pipeline de CI.
Antes de aceitar um Pull Request que adiciona ou modifica uma Skill, o pipeline pode executar automaticamente SkillSpector.
Se detectar riscos importantes…
o merge simplesmente não ocorre.
Já existem exemplos completos para integrá-lo com GitHub Actions.
Caso de uso #1 — Antes de instalar uma Skill
Encontrou uma Skill interessante para Claude Code.
Antes:
GitHub
↓
Instalar
Agora:
GitHub
↓
SkillSpector
↓
Instalar
Cinco segundos extras.
Muita mais tranquilidade.
Caso de uso #2 — Marketplace privado
Se sua empresa mantém Skills internos, você pode analisá-los automaticamente antes de publicá-los para o resto do time.
Dessa forma o marketplace interno incorpora uma primeira camada de controle de qualidade.
Caso de uso #3 — Auditorias periódicas
As Skills também evoluem.
Uma boa prática pode ser rescaneá-las quando mudam:
-
dependências,
-
scripts,
-
permissões,
-
ferramentas.
Não apenas quando são instaladas pela primeira vez.
Por que isso importa?
Acho que SkillSpector aponta para algo muito maior que o próprio projeto.
Durante anos a segurança se focou em:
-
pacotes npm,
-
imagens Docker,
-
dependências,
-
contêineres.
Agora aparece uma nova categoria:
artefatos para agentes.
Skills.
MCP Servers.
Prompts.
Memórias.
Plugins.
Todos começam a fazer parte da cadeia de suprimentos de software.
E, como ocorreu antes com npm ou Docker Hub, provavelmente precisarão de suas próprias ferramentas de segurança.
A tendência
Há apenas alguns meses escrevíamos sobre:
-
CodeGate,
-
MCP Gateways,
-
Hooks,
-
políticas de execução,
-
sandboxes.
SkillSpector se encaixa perfeitamente nessa evolução.
Não é mais suficiente perguntarmos:
“O que meu agente pode fazer?”
Também precisamos começar a perguntar:
“O que estou permitindo que ele instale?”
Porque uma Skill não é simplesmente uma ajuda para o agente.
É código, instruções e comportamento que executará com a confiança que você lhe der.
E, como aprendemos há anos com npm, confiar por padrão raramente termina sendo uma boa estratégia.
Recursos
Repositório oficial
Documentação