skilltotal 是做什么的？
扫描 AI 组件（MCP 服务器、Agent 技能、npm/PyPI 包）以检测恶意软件和风险功能。本地运行、确定性分析、基于证据。免费且开源。
安装
# 使用 pip 安装
pip install skilltotal
使用
基本扫描
skilltotal scan <target>
<target> 可以是：
- MCP 服务器地址或本地路径
- Agent 技能包名或目录
- npm 或 PyPI 包名
示例
# 扫描一个 npm 包
skilltotal scan lodash
# 扫描一个目录中的 MCP 服务器
skilltotal scan ./my-mcp-server
# 扫描一个 Agent 技能
skilltotal scan cursor:my-skill
输出示例
[pezhik/skilltotal] 扫描中...
目标: my-npm-package
风险等级: 中
发现:
- 高 (1): 可疑的网络请求 (scheme://host/path)
- 中 (2): 不安全的 eval 使用
- 低 (3): 过时的依赖
详细信息:
1. 可疑网络请求
文件: src/index.js:15
证据: 代码中包含 `fetch("https://malicious.example.com")`
支持的组件
- MCP 服务器: 通过本地代码分析检测恶意指令
- Agent 技能: 扫描 Cursor、Codex 等平台的技能包
- npm 包: 检查依赖树、文件哈希和行为模式
- PyPI 包: 类似 npm 的检测流程
特性
- 本地运行: 所有分析在本地完成，无需外部服务
- 确定性分析: 相同输入始终产生相同输出
- 基于证据: 所有风险发现都锚定于具体代码或行为证据
- 免费 & 开源: 完全开源，可自由使用和修改
许可证
MIT License
贡献
欢迎提交 issue 和 pull request 到 GitHub 仓库。