SkillSpector v2.9.0 解析E2 定向环境变量读取、YARA 破坏性自治证据与 nSpect 高危修复【免费下载链接】SkillSpectorSecurity scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.项目地址: https://gitcode.com/GitHub_Trending/sk/SkillSpector本指南以 SkillSpector 的 v2.9.0 版本发布说明docs/release/skillspector-2.9.0.md为核心骨架逐一拆解该版本的三项面向用户的变更fix(e2): allow targeted environment credential reads、fix: remediate nSpect High vulnerabilities、fix(yara): require local destructive autonomy evidence。读完本文你将理解 E2Env Variable Harvesting检测规则如何区分定向读取与批量收割YARA 分析器如何用局部证据消除跨上下文误报以及这些修复在源码与测试中的具体落点可直接对照仓库验证或跟进后续扫描结果。一、版本概览一次小而精的安全修复版本v2.9.0 发布于 2026-08-10距离上一个公开版本 release/2.8.22026-08-07仅三天是典型的短周期安全维护版本。发布说明指出自 release/2.8.2 以来共有3 项面向用户的变更全部落在Fixed栏目Added、Changed、Security、Breaking Changes and Migration、Deprecations均标注为 None即无新增功能、无破坏性变更、无弃用项。三项修复按主题可归为三类能力修复项涉及模块核心意图fix(e2): allow targeted environment credential readsstatic_patterns_data_exfiltration.py收紧 E2 环境变量收割检测放行按名定向读取fix: remediate nSpect High vulnerabilities依赖与打包供应链消除 nSpect 扫描报告的高危High漏洞fix(yara): require local destructive autonomy evidencestatic_yara.py 与 agent_skills.yarYARA 命中要求破坏性动作与自治声明处于同一局部上下文验证方式上发布说明特别注明本版本说明由发布驱动release driver根据 release/2.8.2 之后的公开安全提交信息自动生成未记录额外的验证命令。对应的完整提交历史可在 CHANGELOG.md 的### 2.9.0一节中查看。二、fix(e2)从整表收割到定向读取2.1 背景E2 规则检测什么E2Rule IDE2属于数据外泄Data Exfiltration模式分类其标准提示信息为 Env Variable Harvesting默认严重级别为HIGH。在 pattern_defaults.py 中该规则的核心描述是Code enumerates, copies, or searches environment variables for secrets. Bulk environment access can collect credentials unrelated to the skills stated purpose.代码枚举、复制或搜索环境变量以获取秘密。批量环境访问可能收集与技能既定用途无关的凭据。对应的修复建议pattern_defaults.py是Read only explicitly required environment variables by name. Avoid enumerating or copying the full environment, and never log or transmit credentials to untrusted destinations.只按名读取明确需要的环境变量。避免枚举或复制整个环境绝不向不可信目的地记录或传输凭据。也就是说E2 的检测目标不是读取任何一个环境变量而是**将整个os.environ映射物化materialize或枚举enumerate**的行为——例如os.environ.copy()、dict(os.environ)、{**os.environ}、for k, v in os.environ.items()等。这类行为一次就能带走所有凭据与技能既定用途无关因此被标记为 HIGH。2.2 v2.9.0 的语义修正放行定向读取v2.9.0 的fix(e2): allow targeted environment credential reads将环境变量读取进一步细分为两类批量收割bulk harvest物化或枚举完整映射仍然触发 E2定向读取targeted reados.environ[API_KEY]、os.getenv(TOKEN)这类按名读取单个变量的行为不再触发 E2 本身。这一语义在 static_patterns_data_exfiltration.py 的模块文档字符串中有明确交代Detect materializing or enumerating the completeos.environmapping. A full mapping copy or enumeration is an environment-harvesting signal, unlike a targeted single-key lookup or passingos.environthrough to a child process. Credential flows to network and execution sinks remain covered by the behavioral taint analyzer.注意这里的关键分工定向读取 后续流向网络/执行等危险汇点sink的凭据流动并不由 E2 负责而是由行为污点分析器behavioral taint analyzer兜底。也就是说 v2.9.0 不是放水而是把责任边界划得更清楚——静态 E2 只抓整表收割真正的凭据泄露链路交给污点追踪。2.3 源码实现AST 级检测 正则兜底E2 的 Python 检测在 v2.9.0 中已经演进为 AST 优先的实现。_analyze_python_environment_reads会遍历语法树并识别以下模式映射方法调用os.environ.copy()、os.environ.items()、os.environ.keys()、os.environ.values()置信度分别映射为 0.6/0.7/0.6/0.6见 static_patterns_data_exfiltration.py集合构造dict(os.environ)、list(os.environ)、set(os.environ)等置信度 0.6copy 库调用copy.copy(os.environ)、copy.deepcopy(os.environ)置信度 0.6并专门识别__import__(copy).copy(...)这类动态调用字典展开{**os.environ}置信度 0.6迭代for k, v in os.environ含异步 for 与推导式置信度 0.7。该实现还具备两个值得注意的能力别名解析通过共享的 AST 工具python_ast.py解析import os as o这类别名o.environ.items()同样会被识别格式不敏感AST 检测天然容忍空格混淆例如os . environ . copy ()也会命中因此可以覆盖对正则检测的绕过尝试。作为兜底当 Python 文件无法解析语法损坏时分析器会退回正则模式。正则回退规则位于 static_patterns_data_exfiltration.py同样覆盖for ... in os.environ.items()、os.environ.copy()、dict(os.environ)、{**os.environ}等形态此外还有一组面向其他语言/Shell 的规则如Object.keys(process.env)、env | grep -i secret、printenv等见同文件 L70-L78。对于非 Python 文件只会运行正则规则。同时E2 所在的 E1–E5 数据外泄家族还覆盖E1 External TransmissionMEDIUMHTTP 外发请求requests.post、curl -d、wget --post-data等E3 File System EnumerationMEDIUM遍历~/.ssh、~/.aws、.env、凭据文件等E4 Context LeakageHIGH把对话历史、用户输入发往外部的表述E5 Cloud Storage ExfiltrationMEDIUMboto3 put_object、aws s3 cp、gsutil、az storage blob upload等云存储外传。2.4 测试印证定向读取边界被锁定test_static_patterns.py 中专门有一组 E2 用例来锁定该语义test_e2_environment_accessfor k, v in os.environ.items()配合API_KEY判定断言产生E2且严重级别为 HIGHtest_e2_whitespace_tolerant_environ_accessos . environ . copy ()、dict ( os.environ )、{ ** os.environ }等空格混淆写法仍全部命中 E2test_e2_exponentiation_not_flagged2 ** os.environ幂运算不会被误报为 E2——这正体现了定向/非收割边界的细化test_e2_dict_spread_environ_flagged{**os.environ}被标记为完整环境读取。这些用例保证了 v2.9.0 的语义调整不会以漏检为代价也不会以误报污染结果。三、fix(yara)破坏性自治行为必须局部成对出现3.1 背景agent_skills 破坏性自治规则SkillSpector 内置一组面向 AI Agent 技能的 YARA 规则agent_skills.yar覆盖提示注入隐藏指令、MCP 工具投毒、远程引导执行、凭据外泄等。其中agent_skill_destructive_autonomous_actions规则agent_skills.yar检测自治的破坏性文件系统/Shell 历史/仓库操作它的条件是$destructive_rm_root or (any of ($destructive_*) and any of ($autonomy_*))即删除根目录rm -rf /等单独出现即告警其余破坏性动作rm -rf ./工作区、shutil.rmtree、git clean -fdx、history -c等必须与自治声明without asking、do not ask、silently等同时出现才告警。3.2 问题YARA 字符串条件是全文件范围的YARA 的条件语义是文件任意位置命中即满足。这在长技能文件中会造成一种经典误报文件开头有一段作用域受限的工作区重置如rm -rf ./output文件末尾有一段与破坏性操作毫无关系的叙述文字例如do not prompt per file这种泛泛的提示语。两者在全文件范围内分别命中了$destructive_*与$autonomy_*导致一条 HIGH 误报。v2.9.0 的fix(yara): require local destructive autonomy evidence正是针对这一问题。修复后命中破坏性自治规则的匹配还必须通过一次后置检查post-match check破坏性证据与自治证据必须出现在同一局部上下文中。3.3 源码实现行距约束 根删除豁免实现位于 static_yara.py 的_has_local_destructive_autonomy_evidence关键约束常量是_MAX_DESTRUCTIVE_AUTONOMY_LINE_DISTANCE 3逻辑要点将所有匹配实例按标识符分类$destructive_*记入破坏性行号集合$autonomy_*记入自治行号集合只要存在一对破坏性行号与自治行号其行距 ≤ 3 行即认为局部成对证据成立特殊豁免若命中$destructive_rm_root根目录删除直接返回 True——根删除即使没有自治措辞也保持阻断级别这一点与 YARA 规则显式条件保持一致见 agent_skills.yar若匹配实例因数量上限MAX_YARA_MATCH_INSTANCES_PER_RULE 4096被截断即有界前缀命中无法安全证明抑制则保留该 HIGH 规则命中并将该工作项标记为 partial而不是贸然丢弃。在_match_file主流程中static_yara.py只有 namespace 为agent_skills、规则名为agent_skill_destructive_autonomous_actions、且未受限not limited时才会执行这一局部证据检查并跳过不满足的命中。3.4 测试印证跨上下文误报被消除test_static_yara.py 用一组针对性用例锁定该行为test_destructive_autonomous_actions_rule合法的破坏 自治组合仍命中该规则test_destructive_action_does_not_combine_with_distant_autonomy_prose破坏性动作与相距很远的自治措辞不再组合成命中这正是 v2.9.0 修复的误报场景test_multibyte_prefix_does_not_collapse_distant_destructive_evidence多字节前缀不会意外压缩远端证据的距离边界更稳健test_destructive_root_delete_remains_blocking_without_autonomy_phraserm -rf /即使没有自治措辞也仍然阻断验证豁免逻辑未破坏安全性另有用户规则相关用例验证用户自定义agent_skills.yar不会顶替内置命名空间namespace 隔离后置过滤只作用于内置规则。这些测试确保修复方向是降低误报、不降低对根删除等真危险的检测能力。四、fix: remediate nSpect High vulnerabilities第三项修复是供应链层面的fix: remediate nSpect High vulnerabilities即修复 nSpect 扫描报告的高危漏洞。需要说明的是发布说明未给出 nSpect 的具体报告细节哪些依赖、哪些 CVE因此本文不臆测具体漏洞条目。从仓库可确认的关联信息看pyproject.toml 中的运行依赖包含yara-python4.5.0YARA 分析器底层引擎当前仓库锁定文件 uv.lock 记录了完整依赖树是审计 nSpect 高危项时的核对基准相邻版本如 v2.9.2、v2.9.3的 CHANGELOG 显示后续发布继续围绕 LLM 响应处理等方向迭代本项修复属于独立的安全维护提交。从实践角度看这类修复对使用者的意义在于升级到 v2.9.0或其后任一版本即可获得包含该依赖加固的构建。如果你在自己的 CI 中运行 nSpect、pip-audit 或 osv-scanner 等工具SkillSpector 自身也提供 OSV 在线漏洞查询能力见 osv_client.py可以结合锁文件重新核验高危项是否清零。五、升级建议与验证路径v2.9.0 无破坏性变更、无弃用项因此从 2.8.x 升级无需迁移动作。升级后建议按以下顺序验证三项修复是否生效E2 定向读取扫描一个仅做os.getenv(API_KEY)定向读取的技能确认不再产生 E2再扫描一个包含os.environ.items()或{**os.environ}的技能确认仍报 E2/HIGH。YARA 破坏性自治构造工作区重置 远处无关自治措辞的技能确认不再命中agent_skill_destructive_autonomous_actions构造rm -rf /确认仍命中。依赖加固运行uv lock --check或按仓库锁文件重建环境确认依赖解析正常。相关的可复用测试基准包括 tests/nodes/analyzers/test_static_patterns.py 与 tests/nodes/analyzers/test_static_yara.py这两份文件直接对应本版本两项检测语义修复的回归保护。六、小结v2.9.0 是一个典型的安全语义精修版本三项修复分别作用于检测精度E2 定向读取放行、误报控制YARA 局部证据与供应链卫生nSpect 高危修复。从源码与测试可以看出这些调整并非简单放宽规则而是在抓得住真威胁与不冤枉正常技能之间重新划定了更清晰的边界——批量环境收割与按名读取分离、破坏性与自治声明必须局部成对、根目录删除始终保持阻断。对于 SkillSpector 的使用者而言升级成本极低无破坏性变更而扫描结果的可用性信噪比与供应链安全状态都能得到实际改善。【免费下载链接】SkillSpectorSecurity scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.项目地址: https://gitcode.com/GitHub_Trending/sk/SkillSpector创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 SkillSpector v2.9.0 解析：E2 定向环境变量读取、YARA 破坏性自治证据与 nSpect 高危修复
SkillSpector v2.9.0 解析E2 定向环境变量读取、YARA 破坏性自治证据与 nSpect 高危修复【免费下载链接】SkillSpectorSecurity scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.项目地址: https://gitcode.com/GitHub_Trending/sk/SkillSpector本指南以 SkillSpector 的 v2.9.0 版本发布说明docs/release/skillspector-2.9.0.md为核心骨架逐一拆解该版本的三项面向用户的变更fix(e2): allow targeted environment credential reads、fix: remediate nSpect High vulnerabilities、fix(yara): require local destructive autonomy evidence。读完本文你将理解 E2Env Variable Harvesting检测规则如何区分定向读取与批量收割YARA 分析器如何用局部证据消除跨上下文误报以及这些修复在源码与测试中的具体落点可直接对照仓库验证或跟进后续扫描结果。一、版本概览一次小而精的安全修复版本v2.9.0 发布于 2026-08-10距离上一个公开版本 release/2.8.22026-08-07仅三天是典型的短周期安全维护版本。发布说明指出自 release/2.8.2 以来共有3 项面向用户的变更全部落在Fixed栏目Added、Changed、Security、Breaking Changes and Migration、Deprecations均标注为 None即无新增功能、无破坏性变更、无弃用项。三项修复按主题可归为三类能力修复项涉及模块核心意图fix(e2): allow targeted environment credential readsstatic_patterns_data_exfiltration.py收紧 E2 环境变量收割检测放行按名定向读取fix: remediate nSpect High vulnerabilities依赖与打包供应链消除 nSpect 扫描报告的高危High漏洞fix(yara): require local destructive autonomy evidencestatic_yara.py 与 agent_skills.yarYARA 命中要求破坏性动作与自治声明处于同一局部上下文验证方式上发布说明特别注明本版本说明由发布驱动release driver根据 release/2.8.2 之后的公开安全提交信息自动生成未记录额外的验证命令。对应的完整提交历史可在 CHANGELOG.md 的### 2.9.0一节中查看。二、fix(e2)从整表收割到定向读取2.1 背景E2 规则检测什么E2Rule IDE2属于数据外泄Data Exfiltration模式分类其标准提示信息为 Env Variable Harvesting默认严重级别为HIGH。在 pattern_defaults.py 中该规则的核心描述是Code enumerates, copies, or searches environment variables for secrets. Bulk environment access can collect credentials unrelated to the skills stated purpose.代码枚举、复制或搜索环境变量以获取秘密。批量环境访问可能收集与技能既定用途无关的凭据。对应的修复建议pattern_defaults.py是Read only explicitly required environment variables by name. Avoid enumerating or copying the full environment, and never log or transmit credentials to untrusted destinations.只按名读取明确需要的环境变量。避免枚举或复制整个环境绝不向不可信目的地记录或传输凭据。也就是说E2 的检测目标不是读取任何一个环境变量而是**将整个os.environ映射物化materialize或枚举enumerate**的行为——例如os.environ.copy()、dict(os.environ)、{**os.environ}、for k, v in os.environ.items()等。这类行为一次就能带走所有凭据与技能既定用途无关因此被标记为 HIGH。2.2 v2.9.0 的语义修正放行定向读取v2.9.0 的fix(e2): allow targeted environment credential reads将环境变量读取进一步细分为两类批量收割bulk harvest物化或枚举完整映射仍然触发 E2定向读取targeted reados.environ[API_KEY]、os.getenv(TOKEN)这类按名读取单个变量的行为不再触发 E2 本身。这一语义在 static_patterns_data_exfiltration.py 的模块文档字符串中有明确交代Detect materializing or enumerating the completeos.environmapping. A full mapping copy or enumeration is an environment-harvesting signal, unlike a targeted single-key lookup or passingos.environthrough to a child process. Credential flows to network and execution sinks remain covered by the behavioral taint analyzer.注意这里的关键分工定向读取 后续流向网络/执行等危险汇点sink的凭据流动并不由 E2 负责而是由行为污点分析器behavioral taint analyzer兜底。也就是说 v2.9.0 不是放水而是把责任边界划得更清楚——静态 E2 只抓整表收割真正的凭据泄露链路交给污点追踪。2.3 源码实现AST 级检测 正则兜底E2 的 Python 检测在 v2.9.0 中已经演进为 AST 优先的实现。_analyze_python_environment_reads会遍历语法树并识别以下模式映射方法调用os.environ.copy()、os.environ.items()、os.environ.keys()、os.environ.values()置信度分别映射为 0.6/0.7/0.6/0.6见 static_patterns_data_exfiltration.py集合构造dict(os.environ)、list(os.environ)、set(os.environ)等置信度 0.6copy 库调用copy.copy(os.environ)、copy.deepcopy(os.environ)置信度 0.6并专门识别__import__(copy).copy(...)这类动态调用字典展开{**os.environ}置信度 0.6迭代for k, v in os.environ含异步 for 与推导式置信度 0.7。该实现还具备两个值得注意的能力别名解析通过共享的 AST 工具python_ast.py解析import os as o这类别名o.environ.items()同样会被识别格式不敏感AST 检测天然容忍空格混淆例如os . environ . copy ()也会命中因此可以覆盖对正则检测的绕过尝试。作为兜底当 Python 文件无法解析语法损坏时分析器会退回正则模式。正则回退规则位于 static_patterns_data_exfiltration.py同样覆盖for ... in os.environ.items()、os.environ.copy()、dict(os.environ)、{**os.environ}等形态此外还有一组面向其他语言/Shell 的规则如Object.keys(process.env)、env | grep -i secret、printenv等见同文件 L70-L78。对于非 Python 文件只会运行正则规则。同时E2 所在的 E1–E5 数据外泄家族还覆盖E1 External TransmissionMEDIUMHTTP 外发请求requests.post、curl -d、wget --post-data等E3 File System EnumerationMEDIUM遍历~/.ssh、~/.aws、.env、凭据文件等E4 Context LeakageHIGH把对话历史、用户输入发往外部的表述E5 Cloud Storage ExfiltrationMEDIUMboto3 put_object、aws s3 cp、gsutil、az storage blob upload等云存储外传。2.4 测试印证定向读取边界被锁定test_static_patterns.py 中专门有一组 E2 用例来锁定该语义test_e2_environment_accessfor k, v in os.environ.items()配合API_KEY判定断言产生E2且严重级别为 HIGHtest_e2_whitespace_tolerant_environ_accessos . environ . copy ()、dict ( os.environ )、{ ** os.environ }等空格混淆写法仍全部命中 E2test_e2_exponentiation_not_flagged2 ** os.environ幂运算不会被误报为 E2——这正体现了定向/非收割边界的细化test_e2_dict_spread_environ_flagged{**os.environ}被标记为完整环境读取。这些用例保证了 v2.9.0 的语义调整不会以漏检为代价也不会以误报污染结果。三、fix(yara)破坏性自治行为必须局部成对出现3.1 背景agent_skills 破坏性自治规则SkillSpector 内置一组面向 AI Agent 技能的 YARA 规则agent_skills.yar覆盖提示注入隐藏指令、MCP 工具投毒、远程引导执行、凭据外泄等。其中agent_skill_destructive_autonomous_actions规则agent_skills.yar检测自治的破坏性文件系统/Shell 历史/仓库操作它的条件是$destructive_rm_root or (any of ($destructive_*) and any of ($autonomy_*))即删除根目录rm -rf /等单独出现即告警其余破坏性动作rm -rf ./工作区、shutil.rmtree、git clean -fdx、history -c等必须与自治声明without asking、do not ask、silently等同时出现才告警。3.2 问题YARA 字符串条件是全文件范围的YARA 的条件语义是文件任意位置命中即满足。这在长技能文件中会造成一种经典误报文件开头有一段作用域受限的工作区重置如rm -rf ./output文件末尾有一段与破坏性操作毫无关系的叙述文字例如do not prompt per file这种泛泛的提示语。两者在全文件范围内分别命中了$destructive_*与$autonomy_*导致一条 HIGH 误报。v2.9.0 的fix(yara): require local destructive autonomy evidence正是针对这一问题。修复后命中破坏性自治规则的匹配还必须通过一次后置检查post-match check破坏性证据与自治证据必须出现在同一局部上下文中。3.3 源码实现行距约束 根删除豁免实现位于 static_yara.py 的_has_local_destructive_autonomy_evidence关键约束常量是_MAX_DESTRUCTIVE_AUTONOMY_LINE_DISTANCE 3逻辑要点将所有匹配实例按标识符分类$destructive_*记入破坏性行号集合$autonomy_*记入自治行号集合只要存在一对破坏性行号与自治行号其行距 ≤ 3 行即认为局部成对证据成立特殊豁免若命中$destructive_rm_root根目录删除直接返回 True——根删除即使没有自治措辞也保持阻断级别这一点与 YARA 规则显式条件保持一致见 agent_skills.yar若匹配实例因数量上限MAX_YARA_MATCH_INSTANCES_PER_RULE 4096被截断即有界前缀命中无法安全证明抑制则保留该 HIGH 规则命中并将该工作项标记为 partial而不是贸然丢弃。在_match_file主流程中static_yara.py只有 namespace 为agent_skills、规则名为agent_skill_destructive_autonomous_actions、且未受限not limited时才会执行这一局部证据检查并跳过不满足的命中。3.4 测试印证跨上下文误报被消除test_static_yara.py 用一组针对性用例锁定该行为test_destructive_autonomous_actions_rule合法的破坏 自治组合仍命中该规则test_destructive_action_does_not_combine_with_distant_autonomy_prose破坏性动作与相距很远的自治措辞不再组合成命中这正是 v2.9.0 修复的误报场景test_multibyte_prefix_does_not_collapse_distant_destructive_evidence多字节前缀不会意外压缩远端证据的距离边界更稳健test_destructive_root_delete_remains_blocking_without_autonomy_phraserm -rf /即使没有自治措辞也仍然阻断验证豁免逻辑未破坏安全性另有用户规则相关用例验证用户自定义agent_skills.yar不会顶替内置命名空间namespace 隔离后置过滤只作用于内置规则。这些测试确保修复方向是降低误报、不降低对根删除等真危险的检测能力。四、fix: remediate nSpect High vulnerabilities第三项修复是供应链层面的fix: remediate nSpect High vulnerabilities即修复 nSpect 扫描报告的高危漏洞。需要说明的是发布说明未给出 nSpect 的具体报告细节哪些依赖、哪些 CVE因此本文不臆测具体漏洞条目。从仓库可确认的关联信息看pyproject.toml 中的运行依赖包含yara-python4.5.0YARA 分析器底层引擎当前仓库锁定文件 uv.lock 记录了完整依赖树是审计 nSpect 高危项时的核对基准相邻版本如 v2.9.2、v2.9.3的 CHANGELOG 显示后续发布继续围绕 LLM 响应处理等方向迭代本项修复属于独立的安全维护提交。从实践角度看这类修复对使用者的意义在于升级到 v2.9.0或其后任一版本即可获得包含该依赖加固的构建。如果你在自己的 CI 中运行 nSpect、pip-audit 或 osv-scanner 等工具SkillSpector 自身也提供 OSV 在线漏洞查询能力见 osv_client.py可以结合锁文件重新核验高危项是否清零。五、升级建议与验证路径v2.9.0 无破坏性变更、无弃用项因此从 2.8.x 升级无需迁移动作。升级后建议按以下顺序验证三项修复是否生效E2 定向读取扫描一个仅做os.getenv(API_KEY)定向读取的技能确认不再产生 E2再扫描一个包含os.environ.items()或{**os.environ}的技能确认仍报 E2/HIGH。YARA 破坏性自治构造工作区重置 远处无关自治措辞的技能确认不再命中agent_skill_destructive_autonomous_actions构造rm -rf /确认仍命中。依赖加固运行uv lock --check或按仓库锁文件重建环境确认依赖解析正常。相关的可复用测试基准包括 tests/nodes/analyzers/test_static_patterns.py 与 tests/nodes/analyzers/test_static_yara.py这两份文件直接对应本版本两项检测语义修复的回归保护。六、小结v2.9.0 是一个典型的安全语义精修版本三项修复分别作用于检测精度E2 定向读取放行、误报控制YARA 局部证据与供应链卫生nSpect 高危修复。从源码与测试可以看出这些调整并非简单放宽规则而是在抓得住真威胁与不冤枉正常技能之间重新划定了更清晰的边界——批量环境收割与按名读取分离、破坏性与自治声明必须局部成对、根目录删除始终保持阻断。对于 SkillSpector 的使用者而言升级成本极低无破坏性变更而扫描结果的可用性信噪比与供应链安全状态都能得到实际改善。【免费下载链接】SkillSpectorSecurity scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.项目地址: https://gitcode.com/GitHub_Trending/sk/SkillSpector创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考