← Humanizer & anti-slop skills
op7418/Humanizer-zh: test run, 2026-10-07
Claude Code (Claude Opus 5.5) used this skill on three texts written by gpt-6-astra, asked to make them read as human-written and keep every fact. Judge: gpt-6-astra, comparing original and rewrite on StoryScope's structure features (COLM 2026). Repo commit f4518a8eab97. All results · Prompt
Chinese post
Layer reached: phrasing · Reads human: 3/5 · Meaning kept: yes · facts kept 3/3
· AI tells 1→0 · em-dashes 0→0
AI-leaning structure (red: still there, struck: removed): States its lessonTidy endingNever addresses the readerOne single track
Judge: 改写主要是表面措辞替换，例如将“走向团队基础设施”改为“变成团队的基础设施”，将“尤其要警惕安装过程本身”改为“安装过程本身尤其要提防”。段落结构、四层审查框架和结尾的治理总结都没有改变，因此没有触及结构层。
AI-leaning structure (red: still there, struck: removed): States its lessonTidy endingNever addresses the readerOne single track
Judge: 改写主要是表面措辞替换，例如将“走向团队基础设施”改为“变成团队的基础设施”，将“尤其要警惕安装过程本身”改为“安装过程本身尤其要提防”。段落结构、四层审查框架和结尾的治理总结都没有改变，因此没有触及结构层。
Original
# 别把第三方 AI Agent Skill 当成“配置文件”：团队安装前必须完成安全审查 AI Agent 正从个人工具走向团队基础设施。一个看似简单的 `SKILL.md` 文件夹、一个 MCP 服务器，或一个编辑器插件，可能会为 Agent 增加代码编写、文件操作、数据库查询、网页访问和自动部署能力。能力越强，权限边界就越重要。对技术团队负责人来说，安装第三方 Agent Skill 不能只看“能不能用”，还要先确认“它会做什么、能看到什么、能把数据带到哪里”。 首先，Skill 的说明文档并不等于安全承诺。`SKILL.md` 可能包含运行命令、环境变量、依赖安装方式和工具调用规则；MCP 服务器往往可以访问本地文件、终端、数据库或外部 API；插件则可能在 IDE、CI/CD 或桌面环境中长期运行。一旦其中存在恶意逻辑、隐蔽遥测、过度权限或供应链风险，Agent 可能在用户没有充分感知的情况下执行危险操作。 尤其要警惕安装过程本身。诸如 `curl ... | sh` 的命令会绕过人工审查，直接从网络下载并执行脚本；依赖包被替换、仓库账号被盗、发布版本与源码不一致，也可能让“看起来可信”的项目变成攻击入口。对于能够读取密钥、访问生产环境或处理客户数据的 Agent，这类风险不能用“开源项目应该没问题”来解释。 团队可以把审查分成四个层次。第一是来源审查：确认维护者、仓库历史、提交频率、版本发布方式和许可证，避免使用来源不明、长期无人维护或突然更换所有者的项目。第二是行为审查：逐行检查 `SKILL.md`、启动脚本和关键依赖，重点关注是否读取凭证、扫描敏感目录、修改系统配置、执行任意命令或进行隐蔽网络通信。第三是权限审查：坚持最小权限原则，使用专用账号、临时令牌和隔离运行环境，不要把个人 SSH 密钥、云平台主账号或生产数据库凭证直接交给 Agent。第四是运行审查：在沙箱或测试环境中验证网络请求、文件访问、子进程和数据流向，并保留日志、版本锁定和回滚方案。 外部情报可以帮助团队提高效率。Agent Skills Hub 收录了超过 18.6 万个 GitHub 仓库，按 11 类风险给 skill 评级，风险类别包括窃取凭证、外传数据、`curl | sh` 安装脚本等，并且每 8 小时刷新一次。团队可以把它作为安装前的初筛工具，但不能把评级当成最终结论：评分是风险信号，不是安全认证；高分项目仍需结合业务权限和实际代码审查，低风险项目也不代表绝对安全。 建议建立一条明确的准入流程：提交来源和用途，标注所需权限，完成自动扫描与人工复核，在隔离环境试运行，经负责人批准后进入内部目录；版本升级、作者变更和权限变化则重新审查。对于涉及客户数据、生产系统和财务流程的 Skill，还应要求安全团队参与评估。 真正成熟的 Agent 治理，不是禁止团队使用第三方能力，而是让每次安装都可追溯、可限制、可监控、可撤销。把 Skill 当作代码和供应链组件来管理，团队才能获得自动化收益，而不是在一次“方便的安装”之后，为凭证泄露或数据外传付出代价。
Rewrite
# 别把第三方 AI Agent Skill 当成“配置文件”：团队安装前必须完成安全审查 AI Agent 正从个人工具变成团队的基础设施。一个看似简单的 `SKILL.md` 文件夹、一个 MCP 服务器或一个编辑器插件，都可能让 Agent 多出编写代码、操作文件、查询数据库、访问网页和自动部署的能力。能力越强，权限边界越要紧。技术团队负责人在安装第三方 Agent Skill 时，不能只看“能不能用”，还要先弄清“它会做什么、能看到什么、能把数据带到哪里”。 Skill 的说明文档不等于安全承诺。`SKILL.md` 里可能写有运行命令、环境变量、依赖安装方式和工具调用规则；MCP 服务器往往能访问本地文件、终端、数据库或外部 API；插件则可能长期运行在 IDE、CI/CD 或桌面环境里。只要其中藏有恶意逻辑、隐蔽遥测、过度权限或供应链风险，Agent 就可能在用户没有充分察觉时执行危险操作。 安装过程本身尤其要提防。`curl ... | sh` 这类命令会跳过人工审查，直接从网络下载并执行脚本；依赖包被替换、仓库账号被盗、发布版本与源码不一致，也可能让一个“看起来可信”的项目变成攻击入口。如果 Agent 能读取密钥、访问生产环境或处理客户数据，就不能拿“开源项目应该没问题”来打发这类风险。 审查可以分四层来做。第一层看来源：确认维护者、仓库历史、提交频率、版本发布方式和许可证，不用来源不明、长期无人维护或突然更换所有者的项目。第二层看行为：逐行检查 `SKILL.md`、启动脚本和关键依赖，重点留意它是否读取凭证、扫描敏感目录、修改系统配置、执行任意命令或进行隐蔽的网络通信。第三层看权限：坚持最小权限原则，使用专用账号、临时令牌和隔离的运行环境，不要把个人 SSH 密钥、云平台主账号或生产数据库凭证直接交给 Agent。第四层看运行：在沙箱或测试环境中验证网络请求、文件访问、子进程和数据流向，并保留日志、锁定版本、准备回滚方案。 外部情报能帮团队省些力气。Agent Skills Hub 收录了超过 18.6 万个 GitHub 仓库，按 11 类风险给 skill 评级，风险类别包括窃取凭证、外传数据、`curl | sh` 安装脚本等，每 8 小时刷新一次。团队可以用它在安装前做初筛，但评级不是最终结论：评分是风险信号，不是安全认证。高分项目仍要结合业务权限和实际代码来审查，低风险项目也不代表绝对安全。 建议定一条明确的准入流程：提交来源和用途，标明所需权限，完成自动扫描和人工复核，在隔离环境里试运行，经负责人批准后再进入内部目录。版本升级、作者变更或权限变化时，重新审查。涉及客户数据、生产系统和财务流程的 Skill，还应请安全团队参与评估。 成熟的 Agent 治理并不是禁止团队使用第三方能力，而是让每次安装都可追溯、可限制、可监控、可撤销。把 Skill 当作代码和供应链组件来管理，团队才能拿到自动化带来的好处，而不是在一次“方便的安装”之后，为凭证泄露或数据外传付出代价。