Skill Scanner오픈 소스 보안 스캐너. AI 에이전트 skill 의 공격 패턴 검출 및 부패된 패턴을 위한 감시

4.7 (6)

리뷰어 Daniel Nikulshyn·업데이트됨 2026년 5월

Open Source Security Static Analysis AI Agents DevSecOps CI/CD Developer Tools

개요

Skill Scanner은 AI 에이전트 스킬 및 플러그인에 대한 보안 위험 발견을 위해 이력 수집 전에 개발된 오픈 소스 스태틱 분석도구입니다. 이 도구는 스킬 맵, 지시문 및 첨부된 코드를 스캔하여 주입된 명령어, 숨겨진 정보 탈출 시도 및 에이전트 또는 유저의 정보를 훼손할 수 있는 의심스러운 코드 동형을 발견합니다. 결과는 SARIF 형식으로 나중에 CI 파이프라인, 코드 리뷰 워크플로우, 또는 GitHub code scanning과 같은 보안 대시보드에 결과를 통합하는 것이 쉬워 집니다. 개발자와 보안 팀은 이 기능을 이용하여 외부 라이브러리 검사, 스스로의 라이브러리를 강화, 에이전트 생태계의 기본 체크 항목을 강제하는 데 사용할 수 있습니다. 그는 프로젝트가 오픈 소스인 만큼, 규칙과 감지기는 조직 특정 위협 모델 및 정책을 조정하거나 커스터마이즈할 수 있습니다.

주요 기능

Prompt injection 패턴 감지
데이터 탈출 유추
악성 코드 패턴 검색
SARIF 리포트 출력
CI/CD 파이프 라인 통합
확장 가능 규칙 집합

가격

모델: Freemium
카테고리: 파통 새세요 (QA)하세요 엀사실에도
평점: 4.7 / 5 (6)

사용 사례

3자 베타 제삼자 에이전트 skill

3자의 skill 과 플러그인을 검사하여_prompt 패턴과 수상한 코드를 찾고, 그것을 AI 에이전트에 추가하기 전에 risk가 적은 integration이 되는 확률을 높여라.

Skill Scanner를 CI/CD 파이프 라인에 통합하여 SARIF output을 사용하여 pull request에 risk가 있는 skill manifest 또는 instructions가 추가되지 않도록 자동적으로 블럭할 수 있어라.

기판 찾기

SARIF 리포트를 GitHub code scanning 또는 보안 dashboard에 pipe하면 개발자 및 보안 팀이 에이전트 skill 취약성을 code issue와一緒ly하게 트리아를 할 수 있어라.

내부 skill hardening

규칙 집합을 확장하여 organization 특유의 threat model과 match하여 내부적으로 만든 에이전트 skill이 data exfiltration 및 malicious 패턴에 대한 baseline을 충족시키도록 하는 것을 ensured할 수 있어라.

장단점

장점

무료이며 오픈 소스
엔진 특정 공격을 감지하는 엔진
SARIF 출력이 기존 보안 도구와 통합
_CI/CD 보안 게이트에 유용한 도구
검출 규칙의 사용자 정의

단점

CLI 친화적이고 명령 프롬프트 친화적인 기술 설정이 필요
정적 분석은 모든 런타임 공격을 검출할 수 없음
커뮤니티에 의해 유지되는 규칙에 따라 표면

리뷰

4.7

6개 평가의 평균.

리뷰를 작성하려면 로그인하세요.

Fatima Zahra

Mar 22, 2026

Does the job

Pretty happy overall. Extensible rule set just works and sARIF output integrates with existing security tools. Static analysis cannot catch all runtime attacks can be annoying, but no dealbreakers — I'd recommend it to a friend without hesitating.

Carlos Mendoza

Mar 5, 2026

Use it every day

Honestly didn't expect to like it this much. SARIF report output is exactly what I needed, and free and open source. I do wish static analysis cannot catch all runtime attacks, but I reach for it almost every day now and it just clicks.

Mei-Ling Wong

Jan 26, 2026

Use it every day

Honestly didn't expect to like it this much. SARIF report output is exactly what I needed, and useful for CI/CD security gates. but I reach for it almost every day now and it just clicks.

Robert Ainsworth

Jan 16, 2026

Years in this space

I've evaluated a lot of these over the years. What stands out here is sARIF report output — handled better than most — and free and open source. Worth the time if this is your use case.

Yuki Mori

Aug 16, 2025

Use it every day

Honestly didn't expect to like it this much. SARIF report output is exactly what I needed, and targets agent-specific threats like prompt injection. I do wish coverage depends on community-maintained rules, but I reach for it almost every day now and it just clicks.

Kwame Mensah

Jul 13, 2025

Solid for our team

We rolled this out across the team last quarter and useful for CI/CD security gates. Data exfiltration heuristics fits neatly into how we already work, and sARIF report output removed a step we used to do by hand. Requires technical setup and CLI familiarity, which is the main caveat, but it has held up under daily use.

Q&A

What threats can it detect, and what are its limitations?

It performs static analysis on skill manifests, instructions, and bundled code to flag prompt injection patterns, data exfiltration heuristics, and suspicious code. As a static tool, it can't catch all runtime attacks, and detection quality depends on the community-maintained or custom rule set.

Asked by Jamal Carter · Aug 17, 2025

How does Skill Scanner integrate with CI/CD and existing security tooling?

It outputs findings in SARIF, the standard format consumed by tools like GitHub code scanning, security dashboards, and code review workflows. This makes it straightforward to wire into CI/CD pipelines as a security gate alongside other static analysis tools.

Asked by Nadia Petrova · Jul 15, 2025

How much does Skill Scanner cost and what's the licensing model?

Skill Scanner is free and open source, so there are no licensing fees. You can self-host and run it as part of your own workflows, with the trade-off that you handle setup, maintenance, and any rule customization yourself.

Asked by Rina Desai · Jun 7, 2025