HelloPixDig

Annuaire › Sécurité › SkillSpector

SkillSpector
Image : dépôt officiel du projet

> PÉPITE SÉCURITÉ · SKILLS POUR AGENTS · AGENTS & AUTOMATISATION

SkillSpector

par NVIDIA

Le scanner de sécurité de NVIDIA pour les skills d'agents IA : il repère injections de prompt, vols de données et code dangereux avant que tu installes un skill.

Apache-2.0 GratuitOpen sourceLocal
Voir sur GitHub →

Ce que ça fait

  • 71 motifs de vulnérabilités en 17 catégories, score de risque de 0 à 100
  • Scanne un dossier, un fichier, une archive ou directement un dépôt GitHub
  • Gratuit et local en mode statique ; à lire avec recul, il produit des fausses alertes

! Testé par HelloPixDig le 17 octobre 2026 sur 101 skills, en mode statique : 34 jugés sûrs, 58 « prudence », 9 « à ne pas installer ». Après lecture à la main, les alertes graves étaient surtout de fausses alertes (exemples d'API avec une clé, clés écrites dans un fichier .env, fichiers trop longs pour l'analyse). Il a aussi repéré des caractères invisibles, inoffensifs ici, mais c'est une technique connue pour cacher des instructions. Un score élevé n'est donc pas un verdict : lis ce qu'il signale. Le mode LLM optionnel demande un fournisseur (clé d'API) ; avec un modèle local via Ollama, notre essai a échoué (délais dépassés). Chiffre du README : sur 31 132 skills d'un jeu de données de recherche, 26,1 % contiendraient des vulnérabilités et 5,2 % une intention probablement malveillante.

L'installer

Prérequis : Python et uv (ou Docker). Aucune clé en mode statique.

Installe l'outil
uv tool install git+https://github.com/NVIDIA/skillspector.git
Scanne un skill avant de l'installer (mode gratuit)
skillspector scan ./mon-skill/ --no-llm
Ou directement un dépôt GitHub
skillspector scan https://github.com/auteur/skill --no-llm

Le prompt pour ton agent

Colle-le dans ton agent de code : il vérifie les prérequis et installe pour toi.

Claude CodeCodexCursorGemini CLIopencode
Prompt
Installe SkillSpector (https://github.com/NVIDIA/SkillSpector) sur ma machine.
1. Vérifie les prérequis : Python et uv (ou Docker). Aucune clé en mode statique. S'il manque quelque chose, dis-le-moi avant d'installer quoi que ce soit.
2. Suis la méthode officielle :
- Installe l'outil : uv tool install git+https://github.com/NVIDIA/skillspector.git
- Scanne un skill avant de l'installer (mode gratuit) : skillspector scan ./mon-skill/ --no-llm
- Ou directement un dépôt GitHub : skillspector scan https://github.com/auteur/skill --no-llm
3. Vérifie que ça fonctionne, puis explique-moi comment le lancer et par quoi commencer.

Relis toujours ce que ton agent s'apprête à exécuter, surtout les commandes d'installation.