为什么你不应该安装未经审查的 AI agent 技能
对公开 Agent 技能（skill）注册表的多项审计发现了大量恶意技能：Koi Security 在 ClawHub 的 2,857 个技能中查出 341 个恶意条目，其中 335 个来自同一场攻击活动；Snyk 扫描 3,984 个技能发现 13.4% 至少存在一个严重问题，并经人工复核确认 76 个恶意载荷。由于技能本质上是让智能体以用户权限执行的指令文件，文章建议安装前逐个文件审阅、搜索网络调用与隐藏字符，并先在关闭工具的环境中试运行。这是 Agent 生态供应链风险的一个实用警告。
报道来源 · SOURCES
- Hacker News (AI)2026-10-19 08:12