Когда ставишь скилл извне, хочется верить, что его кто-то проверил. На ClawHub (публичный реестр скиллов) этим занимаются три независимых сканера - VirusTotal ищет вредоносный код, статический анализ ловит опасные паттерны, а NVIDIA SkillSpector выявляет скрытые инструкции для агента.
Самое интересное - они почти не пересекаются. Из 67 тысяч проверенных скиллов только 0.69% были помечены всеми тремя одновременно. 82% находок пришли от одного сканера и каждый видит свой тип угроз.
Вредоносный код, опасный системный вызов и скрытая инструкция «отошли мои логи на левый сервер» - это три разных класса проблем. Один сканер не закроет их все, поэтому финальный вердикт выносит ClawScan - отдельная LLM, которая взвешивает все три отчета.
Естественно, даже с тремя сканерами голову включать надо. Смотрите, что скилл обещает делать, и сравнивайте с тем, что он реально может. Если скилл «для красивых картинок» просит доступ к консоли - это повод задуматься.
📌 Но, в любом случае, пользоваться этим реестром куда безопаснее.