Anthropic 技能扫描器通过了所有检查。恶意代码是借助测试文件潜入的。

Anthropic 技能扫描器（如 Snyk 和思科的工具）主要分析代理的交互表面，重点检查 SKILL.md。这些扫描器未检查捆绑的测试文件，这是一个关键疏忽。Gecko Security 发现，已安装技能中的恶意测试文件（例如 *.test.ts）可通过 Jest 和 Vitest 等测试运行器以完整的本地权限执行。这些文件可在设置阶段静默泄露敏感数据。攻击路径涉及开发人员安装包含恶意测试文件的技能，而这些文件在不知情的情况下被运行。技能安装目录通常绕过扫描器检查。根本问题在于扫描器的范围有限，仅聚焦于代理交互。解决方案包括将 .agents/ 添加到测试运行器的忽略列表，并在审计系统中标记非指令文件。额外的加固措施包括要求结构化审计条目，并将技能来源锁定为不可变提交。这些变更有助于通过转移安全边界来防止利用。