O que é auditoria de segurança de uma skill?

Por que skill pede auditoria

Você acha uma skill útil num repositório qualquer, copia a pasta pra dentro do agente e volta a trabalhar. Não leu o arquivo de instrução inteiro, não abriu os scripts que vinham junto, e não tem como saber se algum deles varre suas variáveis de ambiente atrás de chave. Você olhou o README e achou que estava olhando a skill.

Uma skill não é uma biblioteca: é instrução que o agente obedece, com as suas permissões, na sua máquina, dentro dos seus repositórios. Ela pode mandar ignorar uma regra de segurança e pode esconder uma ordem em texto invisível no meio de um parágrafo normal, sem uma linha de código executável. Um levantamento de 42.447 skills de marketplaces públicos encontrou vulnerabilidade em 26,1% delas e intenção provavelmente maliciosa em 5,2%.

Como a checagem funciona

Existe uma ferramenta de código aberto e gratuita, publicada pela NVIDIA sob licença Apache 2.0, que lê uma skill antes da instalação e devolve o veredito curto. Ela aceita uma pasta, um arquivo solto, um zip ou uma URL do GitHub, e nunca executa o que está analisando: a análise é do texto e do código parados. A parte inteligente manda o conteúdo pro provedor de LLM configurado, pra entender intenção em vez de só casar padrão; há um modo local pra material sensível.

O passo que quase ninguém dá é o que transforma a checagem em portão: a ferramenta sobe como servidor MCP dentro do próprio agente e responde antes de a skill entrar, e a versão pra pipeline devolve um código de saída que o CI entende.

O que ela não cobre

Não é caixa de areia: ela avisa antes de instalar, e se você instalar mesmo assim nada ali contém a skill depois. Não vê o que só aparece rodando, nem ataque escondido em imagem ou binário. E acusa falso positivo: skill honesta que roda um comando de sistema acende alerta, e aprender a separar risco de trabalho normal é metade do uso.

Quando isso importa

• Você achou uma skill útil num repositório desconhecido e está a um comando de copiar a pasta pro seu agente.
• Você instala dezenas de skills por mês e quer que a checagem vire portão automático em vez de mais um item na lista.
• Alguém do time colou um pacote de skills no projeto e ninguém abriu os scripts que vinham junto.

Nossa posição

Skill de terceiro entra depois de passar pelo portão, não antes, e isso vale pra plugin e pra servidor MCP também. A checagem só serve enquanto você continua lendo o resultado: verificador que a pessoa aprende a ignorar não protege ninguém.