SkillsSafe Security Scanner

com.skillssafe由 skillssafe.com 發布官方發布者v1.1.0更新於 Oct 24, 2026

AI skill security scanner. Detects prompt injection, credential theft, ClawHavoc. Free, no signup.

已驗證SSE可網頁執行開發者工具安全與監控

概覽

AI 產生的概覽

免費的安全掃描器，讓助理在安裝前掃描 AI 技能檔案、MCP 設定與提示詞，偵測提示注入、憑證竊取等威脅。

可以做什麼
  • 依網址或直接貼上內容掃描技能，回傳風險分數、嚴重等級與可分享的報告連結
  • 取得先前掃描的完整報告
  • 偵測憑證竊取、資料外洩、提示注入、Shell 注入、零寬字元、權限越界、記憶污染與隱私風險
  • 找出文字中隱藏的零寬 Unicode 字元
適用情境
適合在安裝或信任第三方技能、MCP 設定、系統提示詞之前做一次自動化安全檢查，也可用於代理工作流程或 CI 流程中。
執行需求
需要遠端端點，或透過 stdio 執行 npm 套件 skillssafe-mcp。不需 API 金鑰或註冊；REST API 限制為每小時 60 次請求。
安裝前請注意
送出掃描的內容（包括技能檔案與提示詞）會傳送到 SkillsSafe 服務進行分析。掃描結果僅供參考，可能出現誤報，使用前應自行複核。

安裝

在 SourceWeft 中

  1. 開啟 儀表板中的 SkillsSafe Security Scanner，將其新增到工作區。
  2. 為需要使用其工具的對話啟用該服務。

Web executable，透過 SSE。 遠端服務在工作區中設定後即可從網頁執行環境執行。

交給代理程式安裝

把這段提示詞貼上到 Claude Code、Codex、Cursor 等代理程式，或 SourceWeft 對話中。代理程式會讀取該伺服器的安裝指南，先向你展示發布者、端點和登入方式，經你同意後再把它新增到你的客戶端。金鑰不會寫進任何命令。

閱讀 https://sourceweft.com/mcp/com.skillssafe%2Fscanner/install.md，並按其中說明把這個 MCP 伺服器接入我的客戶端。修改任何設定之前，先告訴我它的發布者、端點和登入方式，等我確認。不要把 API 金鑰寫進命令或我會提交的檔案；問我金鑰應從哪裡取得。

檢視代理程式所依據的安裝指南

其他 MCP 客戶端

把它新增到你客戶端的 mcpServers 設定中。

{
  "mcpServers": {
    "skillssafe-security-scanner": {
      "type": "sse",
      "url": "https://mcp.skillssafe.com/sse"
    }
  }
}

README

SkillsSafe — AI Skill Security Scanner

[smithery badge]

Free, no-signup security scanner for AI agent skills. Scan any SKILL.md, MCP config, or system_prompt for threats before installing.

🌐 skillssafe.com

What Is SkillsSafe?

As AI agents become more powerful, malicious skills can steal credentials, exfiltrate data, or hijack your agent's behavior. SkillsSafe scans skill files before you install them — the same way an antivirus scans software before you run it.

Supported platforms: OpenClaw · Claude Code · Cursor · Codex · any MCP-compatible agent

Features

🔍 Security Scanner

Paste content, enter a URL, or upload a file to scan for:

ThreatDescription
Credential TheftAttempts to access API keys, tokens, or passwords
Data ExfiltrationSkills that send your data to external servers
Prompt InjectionHidden instructions that hijack agent behavior
Shell InjectionReverse shell or arbitrary command execution
Zero-Width CharactersInvisible Unicode characters hiding malicious instructions
Scope CreepSkills requesting permissions beyond their stated purpose
Memory PoisoningAttempts to corrupt agent memory or context
Privacy RiskUnnecessary access to personal or sensitive data

Each scan returns a risk score, severity rating (SAFE / CAUTION / DANGER / CRITICAL), and a shareable report link.

👁️ Zero-Width Character Detector

Visualize invisible Unicode characters (U+200B, U+200C, U+200D, U+FEFF, etc.) hidden inside text. Attackers embed these to create prompts that look safe to humans but carry hidden instructions for AI agents.

🔌 MCP Server Integration

Native Model Context Protocol support — let your agent automatically check skill safety before installation. No API key required.

bash
# OpenClaw (one-line setup)openclaw mcp add https://skillssafe.com/api/mcp

Available MCP tools:

  • scan_url — Scan a skill by URL
  • scan_content — Scan skill content directly
  • get_report — Retrieve a full scan report

📡 REST API

Works with any agent, script, or CI/CD pipeline.

bash
# Scan by URLcurl -X POST https://skillssafe.com/api/v1/scan/url \  -H "Content-Type: application/json" \  -d '{"url": "https://clawhub.ai/skills/example"}'
# Scan by contentcurl -X POST https://skillssafe.com/api/v1/scan/content \  -H "Content-Type: application/json" \  -d '{"content": "...skill content..."}'

Full OpenAPI spec: https://skillssafe.com/api/v1/openapi.json

Pages

RouteDescription
/Main security scanner
/zero-width-detectorHidden Unicode character detector
/api-docsInteractive API documentation
/integrateIntegration guide for MCP & REST API
/feedbackBug reports and feature requests

Getting Started (Local Development)

bash
npm installnpm run dev

Open http://localhost:3000 in your browser.

Environment Variables

bash
# .env.local# (see wrangler.toml for Cloudflare Workers configuration)

Tech Stack

  • Framework: Next.js (App Router)
  • Deployment: Cloudflare Workers via @opennextjs/cloudflare
  • Database: Cloudflare D1 (SQLite)
  • i18n: next-intl (English · 中文 · 日本語)

Pricing

100% Free · No Signup · No Rate Limits for Humans

API rate limit: 60 requests/hour (no API key required).

Feedback & Support

Found a bug or false positive? Send feedback or email [email protected].

SkillsSafe is an independent security tool, not affiliated with Anthropic, OpenClaw, or Cisco.

來源：README.md，提交 dc10aec

工具

0
SourceWeft 尚未讀取此伺服器的工具。

版本歷史

1
  1. v1.1.0最新Sep 16, 2026

評分

已滿足適用檢查項的 50%

該評分衡量此收錄條目的完整程度，依據註冊中心條目、端點與公開來源計算得出。它不是對伺服器本身的評價，也不表示伺服器安全或目前可用：可連通性是帶日期的檢查結果，評分也不包含安裝量或使用者評價。

  • 近 30 天內可連通必需25 分

    請保持端點能夠回應 MCP 握手；SourceWeft 每 30 天探測一次。

  • 已宣告認證方式必需10 分

    請在註冊中心條目中宣告憑證請求標頭，或保持端點能夠回應探測，以便判定其認證方式。

  • 已列出工具15 分

    請讓伺服器在無憑證時回應 tools/list，或發布可在沙箱中無憑證啟動的軟體包。

  • 描述必需15 分
  • 圖示10 分
  • 文件15 分
  • 授權條款10 分