事件经过
NVIDIA发布了SkillSpector（2026年9月8日，Apache 2.0），这是一款开源扫描器，可以在Claude Code、Codex CLI、Gemini CLI和MCP技能安装前检测漏洞、恶意模式、提示注入、数据泄露和供应链风险；它支撑NVIDIA的"验证技能"管道，该管道在目录发布前扫描、评估和签署技能，引用研究表明26.1%的技能含有漏洞，5.2%显示可能的恶意意图。
影响分析
代理"技能"是一个新兴的、基本未经审查的供应链表面，类似于npm/PyPI包；一家主要AI基础设施供应商推出免费扫描器加签署管道，为其他代理技能市场（例如，OpenClaw已在集成它）所采用的参考架构。
适用范围
构建或分发Claude Code/Codex/Gemini CLI技能或MCP工具的团队应立即在CI/安装时门控中集成SkillSpector。