OUBIGFA/De-AI-Prompt-Enhancer-Writer-Booster-SKILL: test run, 2026-10-07

Claude Code (Claude Opus 5.5) used this skill on three texts written by gpt-6-astra, asked to make them read as human-written and keep every fact. Judge: gpt-6-astra, comparing original and rewrite on StoryScope's structure features (COLM 2026). Repo commit 59eafed6c9eb. All results · Prompt

Chinese post

Layer reached: phrasing · Reads human: 3/5 · Meaning kept: yes · facts kept 3/3 · AI tells 1→1 · em-dashes 0→0
AI-leaning structure (red: still there, struck: removed): States its lessonTidy endingNever addresses the readerOne single track
Judge: 重写把“建议建立一条明确的准入流程”改成“准入流程最好写明白”，并将“外部情报可以帮助团队提高效率”改成更口语化的“这类外部情报能帮团队省不少工夫”。整体段落顺序、论证路线和收束方式没有变化，仍以“可追溯、可限制、可监控、可撤销”作明确总结。

Original

# 别把第三方 AI Agent Skill 当成“配置文件”：团队安装前必须完成安全审查

AI Agent 正从个人工具走向团队基础设施。一个看似简单的 `SKILL.md` 文件夹、一个 MCP 服务器，或一个编辑器插件，可能会为 Agent 增加代码编写、文件操作、数据库查询、网页访问和自动部署能力。能力越强，权限边界就越重要。对技术团队负责人来说，安装第三方 Agent Skill 不能只看“能不能用”，还要先确认“它会做什么、能看到什么、能把数据带到哪里”。

首先，Skill 的说明文档并不等于安全承诺。`SKILL.md` 可能包含运行命令、环境变量、依赖安装方式和工具调用规则；MCP 服务器往往可以访问本地文件、终端、数据库或外部 API；插件则可能在 IDE、CI/CD 或桌面环境中长期运行。一旦其中存在恶意逻辑、隐蔽遥测、过度权限或供应链风险，Agent 可能在用户没有充分感知的情况下执行危险操作。

尤其要警惕安装过程本身。诸如 `curl ... | sh` 的命令会绕过人工审查，直接从网络下载并执行脚本；依赖包被替换、仓库账号被盗、发布版本与源码不一致，也可能让“看起来可信”的项目变成攻击入口。对于能够读取密钥、访问生产环境或处理客户数据的 Agent，这类风险不能用“开源项目应该没问题”来解释。

团队可以把审查分成四个层次。第一是来源审查：确认维护者、仓库历史、提交频率、版本发布方式和许可证，避免使用来源不明、长期无人维护或突然更换所有者的项目。第二是行为审查：逐行检查 `SKILL.md`、启动脚本和关键依赖，重点关注是否读取凭证、扫描敏感目录、修改系统配置、执行任意命令或进行隐蔽网络通信。第三是权限审查：坚持最小权限原则，使用专用账号、临时令牌和隔离运行环境，不要把个人 SSH 密钥、云平台主账号或生产数据库凭证直接交给 Agent。第四是运行审查：在沙箱或测试环境中验证网络请求、文件访问、子进程和数据流向，并保留日志、版本锁定和回滚方案。

外部情报可以帮助团队提高效率。Agent Skills Hub 收录了超过 18.6 万个 GitHub 仓库，按 11 类风险给 skill 评级，风险类别包括窃取凭证、外传数据、`curl | sh` 安装脚本等，并且每 8 小时刷新一次。团队可以把它作为安装前的初筛工具，但不能把评级当成最终结论：评分是风险信号，不是安全认证；高分项目仍需结合业务权限和实际代码审查，低风险项目也不代表绝对安全。

建议建立一条明确的准入流程：提交来源和用途，标注所需权限，完成自动扫描与人工复核，在隔离环境试运行，经负责人批准后进入内部目录；版本升级、作者变更和权限变化则重新审查。对于涉及客户数据、生产系统和财务流程的 Skill，还应要求安全团队参与评估。

真正成熟的 Agent 治理，不是禁止团队使用第三方能力，而是让每次安装都可追溯、可限制、可监控、可撤销。把 Skill 当作代码和供应链组件来管理，团队才能获得自动化收益，而不是在一次“方便的安装”之后，为凭证泄露或数据外传付出代价。

Rewrite

# 第三方 AI Agent Skill，先审再装

AI Agent 已经开始从个人工具变成团队基础设施。一个看似简单的 `SKILL.md` 文件夹、一个 MCP 服务器，或一个编辑器插件，可能会让 Agent 多出代码编写、文件操作、数据库查询、网页访问和自动部署的能力，能力多一样，权限边界就要多看一眼。技术团队负责人在安装第三方 Agent Skill 时，光看“能不能用”不够，还得先弄清“它会做什么、能看到什么、能把数据带到哪里”。

Skill 的说明文档并不等于安全承诺。`SKILL.md` 里可能写着运行命令、环境变量、依赖安装方式和工具调用规则；MCP 服务器往往可以访问本地文件、终端、数据库或外部 API；插件则可能在 IDE、CI/CD 或桌面环境中长期运行。其中要是藏着恶意逻辑、隐蔽遥测、过度权限或供应链风险，Agent 可能在用户没怎么察觉的时候就执行了危险操作。

`curl ... | sh` 这样的命令会绕过人工审查，直接从网络下载并执行脚本，所以安装过程本身就要警惕。依赖包被替换、仓库账号被盗、发布版本与源码不一致，也可能让“看起来可信”的项目变成攻击入口。如果 Agent 能读取密钥、访问生产环境或处理客户数据，“开源项目应该没问题”这种说法解释不了这类风险。

审查可以分四层来做。先看来源：确认维护者、仓库历史、提交频率、版本发布方式和许可证，来源不明、长期无人维护或突然更换所有者的项目不要用。再看行为，逐行检查 `SKILL.md`、启动脚本和关键依赖，重点看它会不会读取凭证、扫描敏感目录、修改系统配置、执行任意命令或进行隐蔽网络通信。权限这一层坚持最小权限原则，用专用账号、临时令牌和隔离运行环境，个人 SSH 密钥、云平台主账号或生产数据库凭证不要直接交给 Agent。最后是运行审查，在沙箱或测试环境中验证网络请求、文件访问、子进程和数据流向，同时保留日志、版本锁定和回滚方案。

Agent Skills Hub 收录了超过 18.6 万个 GitHub 仓库，按 11 类风险给 skill 评级，风险类别包括窃取凭证、外传数据、`curl | sh` 安装脚本等，每 8 小时刷新一次。这类外部情报能帮团队省不少工夫，可以拿来做安装前的初筛。但评级只是风险信号，算不上安全认证，不能当最终结论。高分项目仍需结合业务权限和实际代码审查，低风险项目也不代表绝对安全。

准入流程最好写明白：提交来源和用途，标注所需权限，完成自动扫描与人工复核，在隔离环境试运行，经负责人批准后进入内部目录。版本升级、作者变更和权限变化都要重新审查。涉及客户数据、生产系统和财务流程的 Skill，还应要求安全团队参与评估。

禁止团队使用第三方能力解决不了问题，要做的是让每次安装都可追溯、可限制、可监控、可撤销。把 Skill 当作代码和供应链组件来管，团队才拿得到自动化的好处，免得一次“方便的安装”之后，为凭证泄露或数据外传付出代价。