场景
你要装新的插件/技能/仓库，但不知道里面有没有坑——恶意模式、不安全配置、被动的危险权限。装之前先安检，是最便宜的安全手段。但安检本身要装两个工具，你会卡在：skillspector 不在 PyPI（直接 pip install skillspector 必失败）、两个扫描器会不会互相干扰。
本组合包把安检装齐：skillspector 扫技能/仓库内容（恶意模式/不安全配置）、agentshield 扫 agent 配置目录攻击面（权限/凭据/危险配置）。两者都是只读扫描（实测零写面），可以放心前置到任意组合包（装任何东西之前先跑一遍）。
组合成员 （2）
skillspector（技能/仓库内容安检）
下载：官方 GitHub Release wheel（v2.10.0，skillspector-2.10.0-py3-none-any.whl，476KB）；**注意：不在 PyPI**（PyPI/清华镜像均 404，pip install skillspector 必失败）——发行渠道 = GitHub Release wheel，国内走 gh-proxy 下载 wheel、依赖走清华镜像
版本要求：[2.10.0, 2.10.0]（manifest 锁定；Python 3 任意版本 wheel）
curl -sL -o skillspector-2.10.0-py3-none-any.whl https://gh-proxy.com/https://github.com/NVIDIA/SkillSpector/releases/download/v2.10.0/skillspector-2.10.0-py3-none-any.whl
pip install -i https://pypi.tuna.tsinghua.edu.cn/simple skillspector-2.10.0-py3-none-any.whl
skillspector --version # 预期输出: 2.10.0agentshield（agent 配置攻击面审计）
下载：官方 npm（包名 ecc-agentshield）；国内用 npmmirror registry；GitHub release v1.4.0 无资产，官方分发走 npm
版本要求：[1.5.0, 1.5.0]（manifest 锁定；Node >= 18；CLI 二进制名 agentshield，包名 ecc-agentshield）
npm_config_registry=https://registry.npmmirror.com npm install -g ecc-agentshield
agentshield scan # 预期输出: AgentShield Security Report方案总览
| 工具 | 管什么 | 为什么是它 |
|---|---|---|
| skillspector | 技能/仓库内容安检 | 扫目标技能/仓库的恶意模式与不安全配置；pip wheel 形态 |
| agentshield | agent 配置攻击面审计 | 扫 ~/.claude 等配置目录的权限/凭据/危险配置；npm 形态 |
备选方案：只关心「要装的东西内容干不干净」→ 只装 skillspector；只关心「本机 agent 配置有没有漏洞」→ 只装 agentshield。两者都是只读扫描器（实测零写面），可前置到任意组合包（001-003 均可先跑本组合）。
快速开始
一键脚本由本文档自动生成（渲染后位于 pages/combos/combo-security-preflight.sh），逐条执行：
bash pages/combos/combo-security-preflight.sh
- 装完你会得到：skillspector + agentshield 两个只读扫描器，装任何东西之前先跑一遍安检。
- 预计耗时：3-5 分钟。最容易装错的一步 = 直接
pip install skillspector（必失败，它不在 PyPI）——正确路径是先下 GitHub Release wheel 再 pip 安装，命令已内置 gh-proxy + 清华镜像。 - 前置条件：Python 3（任意版本，wheel 为 py3-none-any）；Node >= 18（agentshield）。
想弄明白每一步在干什么、装错了怎么恢复 → 看「逐步教学」。一键脚本出问题 → 按逐步教学手动执行定位。
逐步教学
第 1 步：装 skillspector（技能/仓库内容安检）
skillspector 扫目标技能/仓库内容：恶意模式、不安全配置。它不在 PyPI——直接 pip install skillspector 必失败（PyPI/清华镜像都 404），正确路径是：先下 GitHub Release wheel（国内走 gh-proxy 前缀，476KB 很快），再用清华镜像装依赖。
curl -sL -o skillspector-2.10.0-py3-none-any.whl https://gh-proxy.com/https://github.com/NVIDIA/SkillSpector/releases/download/v2.10.0/skillspector-2.10.0-py3-none-any.whl
pip install -i https://pypi.tuna.tsinghua.edu.cn/simple skillspector-2.10.0-py3-none-any.whl
skillspector --version # 预期输出: 2.10.0
预期输出: 2.10.0
装好确认：
skillspector --version输出版本号 2.10.0；- 对一个样例目录跑静态扫描
skillspector scan <目录> --no-llm（免 API key 的静态模式）。
卡住怎么办：
- wheel 下载失败（gh-proxy 不通）→ 换网络窗口重试；或浏览器手动下载同 URL 到本地再 pip 装。
- 直接
pip install skillspector报 404 → 正常现象，它不在 PyPI；按上面两步走（wheel + 清华镜像依赖）。 - LLM 分析要 key？ → 静态扫描用
--no-llm免 key；semantic_*分析器才需要 OPENAI_API_KEY 或 SKILLSPECTOR_PROVIDER（可选，不用就不配）。
第 2 步：装 agentshield（agent 配置攻击面审计）
agentshield 扫 agent 配置目录（~/.claude 等）的攻击面：权限、凭据、危险配置。npm 形态（包名 ecc-agentshield，命令名 agentshield），国内用 npmmirror。也可以不安装直接 npx -y 扫（见 note）。
npm_config_registry=https://registry.npmmirror.com npm install -g ecc-agentshield
agentshield scan # 预期输出: AgentShield Security Report
预期输出: AgentShield Security Report
装好确认：
agentshield scan输出 Security Report；agentshield --version输出版本号。
卡住怎么办：
- npm 慢/超时 → 命令已带 npmmirror registry。
- 不想全局装 → 免安装直扫：
npm_config_registry=https://registry.npmmirror.com npx -y ecc-agentshield scan。
note: 也可免安装直扫：npm_config_registry=https://registry.npmmirror.com npx -y ecc-agentshield scan。装完验收（一步到位）
作用：装完跑下面一条命令块，全绿 = 本组合包就绪；某条失败 → 回「逐步教学」对应步骤定位。
skillspector --version
agentshield --version
预期输出: 2.10.0；agentshield 版本号。安检跑法：skillspector <技能/仓库目录> + agentshield scan（输出 AgentShield Security Report）
注：成员级命令已实测；扫描目标目录请用你自己的技能/仓库路径。
日常使用
启动与入口
- skillspector：
skillspector scan <目录/仓库> --no-llm（静态扫描，免 key）。 - agentshield：
agentshield scan（扫本机 agent 配置攻击面）。
常用操作
- 装东西前：先
skillspector scan <要装的技能/仓库目录> --no-llm，再agentshield scan，两项都干净再装。 - 组合冒烟：
skillspector --version && agentshield --version。 - 定时复扫：改完 agent 配置后重跑
agentshield scan。
数据与目录
- 两工具都是只读扫描，无数据目录（实测零写面）。
- agentshield watch/runtime 持续监控形态会写配置/常驻（未实测，属其专属写面）。
卸载与清理
按安装相反顺序卸载：
# 1. agentshield（npm 全局）
npm uninstall -g ecc-agentshield
# 2. skillspector（pip）
pip uninstall -y skillspector
rm -f skillspector-2.10.0-py3-none-any.whl
提示：wheel 文件是安装中间产物，卸载后一并删除。
安装顺序
- 先 skillspector（pip wheel）——下载源最特殊（GitHub Release wheel），先装先确认网络通。
- 再 agentshield（npm）——两个扫描器跨生态共装实测兼容（coexist-skillspector 证据）；任意顺序均可。
依赖警告
- 冲突：agentshield×skillspector compatible（verified 2026-08-28，npm + pip wheel 跨生态共装双冒烟 exit 0，写面互不重叠）；与其余全条目 possible-compatible（推断，全图 210 对）——两者均为只读扫描（实测零写面），无共享写面/注册面/端口面。
- 版本：skillspector [2.10.0,2.10.0]（Python）；agentshield [1.5.0,1.5.0]（Node >= 18）。
- 环境：skillspector 无后台进程；agentshield 无后台进程（watch/runtime 持续监控形态未实测，会写配置/常驻，属其专属写面）；两工具都只读扫描目标目录/配置。
- 国内网络：skillspector 卡点在 wheel 下载（GitHub，命令已带 gh-proxy）与依赖（清华镜像）；agentshield 卡点在 npm（命令已带 npmmirror）。最容易装错的一步 = 直接
pip install skillspector（必失败，不在 PyPI）。
FAQ
pip install skillspector报 404 是为什么？ → 它不在 PyPI（PyPI/清华镜像均 404），发行渠道是 GitHub Release wheel。按「逐步教学 第 1 步」先下 wheel 再 pip 装依赖。- 两个扫描器会互相干扰吗？ → 不会。npm + pip wheel 跨生态共装实测 compatible（双冒烟 exit 0，写面互不重叠，实测复现日志（2026-08-28））。
- skillspector 一定要 API key 吗？ → 不用。静态扫描
--no-llm免 key；LLM 语义分析才需要（可选）。 - 这套安检能前置到别的组合包吗？ → 能，两者只读零写面，可放心作为任何组合包的第一步（先安检再装）。
验证证据
每份组合包在隔离环境实测（冒烟 + 写面检查），未实测项在文中如实标注；实测日期见下方验证证据。
验证于 2026-08-29 · TTL 到期 2027-02-25（180 天）
本站实测记录（2026-08-28）
- 实测复现日志（2026-08-28）。
- 未实测（如实标注）：agentshield watch/runtime 持续监控形态（会写配置/常驻）；skillspector LLM 语义分析（需 API key，可选）；与全条目兼容性为矩阵推断态（possible-compatible）。