SkillSpector
im Test.

Wer einen Skill aus einem Marktplatz oder einem GitHub-Repository installiert, gibt ihm Zugriff auf das Dateisystem und das Netzwerk, teils auch auf die Systemanweisung des Sprachmodells. Die Studie “Agent Skills in the Wild” (Liu et al., 2026) hat dafür 42.447 Skills aus den großen Marktplätzen durchgesehen. In 26,1 % steckte mindestens eine Schwachstelle, bei 5,2 % deuteten die gefundenen Muster auf bösartige Absicht. SkillSpector prüft einen Skill vor der Einrichtung und sagt, ob er sicher genug für den Einsatz ist.

Wichtigste Funktionen

• Mehrere Eingabeformate: Der Scanner liest ein Git-Repository, eine URL, ein ZIP-Archiv, ein Verzeichnis oder eine einzelne SKILL.md-Datei. So prüfst du einen Skill direkt an der Quelle, noch bevor er auf dem eigenen Rechner liegt.
• 68 Schwachstellenmuster in 17 Kategorien: Darunter fallen klassische Risiken wie verwundbare Abhängigkeiten, Schadcode und das Auslesen von Zugangsdaten. Dazu kommen agentenspezifische Muster, etwa in den Skill-Text eingeschleuste Anweisungen (Prompt Injection), Anweisungen in unsichtbaren Unicode-Zeichen und übermäßige Berechtigungen. Auch manipulierte Werkzeugbeschreibungen an MCP-Servern findet der Scanner, also an den Schnittstellen, über die ein Agent externe Werkzeuge einbindet.
• Zweistufige Analyse: Die erste Stufe arbeitet statisch auf dem eigenen Rechner, mit Mustersuche, Analyse des Programmcodes und YARA-Regeln, dem verbreiteten Regelformat zur Erkennung von Schadsoftware. Optional schickt eine zweite Stufe verdächtige Stellen an ein Sprachmodell, das Kontext und Absicht bewertet, Fehlalarme aussortiert und die Treffergenauigkeit auf rund 87 % hebt. Dafür genügt auch ein lokales Modell über einen OpenAI-kompatiblen Endpunkt im eigenen Netz.
• Risikowert mit Empfehlung: Jeder Skill bekommt einen Wert von 0 bis 100 mit Schweregrad und einer Einstufung von sicher bis nicht installieren. Das ersetzt das Bauchgefühl durch eine nachvollziehbare Zahl.
• Ausgabe für Mensch und Bauprozess: Berichte gibt es als Terminal-Ausgabe, JSON, Markdown und im SARIF-Format, dem Standard für Sicherheitsbefunde in Entwicklungswerkzeugen. Seit Version 2.5.0 weist der Bericht zusätzlich aus, was tatsächlich geprüft wurde und was übersprungen oder abgebrochen ist, sodass ein automatisierter Bauprozess einen unvollständigen Scan nicht mehr als Freigabe wertet.
• Betrieb als MCP-Server: Mit skillspector mcp läuft der Scanner als Werkzeug, das ein Agent wie Claude Code selbst aufruft, um eine Installation vom Ergebnis abhängig zu machen. Über HTTP bringt dieser Server keine eigene Anmeldung mit, er gehört deshalb auf die lokale Adresse 127.0.0.1 oder hinter einen abgesicherten Zugang.

Preise und Tarife

SkillSpector steht unter der Apache-2.0-Lizenz, ist quelloffen und kostenlos. Für die statische Analyse braucht es weder ein Konto noch einen Zugangsschlüssel, sie läuft nach der Installation direkt auf dem eigenen Rechner.

Geld fließt erst, wenn die optionale zweite Stufe ein Sprachmodell nutzt, denn dann greifen die Token-Preise des gewählten Anbieters. Ab Werk ist das NVIDIA, wahlweise OpenAI, Anthropic, AWS Bedrock oder ein eigener Endpunkt.

Bezahlst du die Kommandozeilen-Werkzeuge von Claude oder Codex ohnehin, nutzt SkillSpector deren bestehende Anmeldung mit. Ein lokal betriebenes Modell verursacht überhaupt keine Token-Kosten. Die Token-Preise der Anbieter sind Nettobeträge, die Umsatzsteuer kommt darauf noch hinzu.

Für wen ist SkillSpector geeignet?

• Entwicklungsteams, die Agenten-Skills übernehmen: Skills für Claude Code, Codex CLI oder Gemini CLI aus einem Marktplatz oder GitHub-Repository gehen vor der Installation durch den Scan. Schadcode und versteckte Anweisungen fallen auf, bevor der Skill Zugriff auf Dateien und Netzwerk bekommt.
• Entwickler mit automatisierten Bauprozessen: Über die SARIF-Ausgabe läuft der Scan als eigener Schritt im Bauprozess mit und stoppt einen riskanten Skill vor dem Einbau. Eine Ausnahmeliste blendet bereits bewertete Befunde aus, sodass ein erneuter Lauf nur Neues meldet.
• Behörden und Unternehmen mit strengen Datenschutzvorgaben: Die statische Stufe läuft ohne Konto und ohne Zugangsschlüssel auf dem eigenen Rechner, und für die zweite Stufe genügt ein Sprachmodell im eigenen Netz.

DSGVO und Datenschutz

Hinter SkillSpector steht NVIDIA, ein US-Konzern, das Werkzeug betreibst du aber ausschließlich selbst. Eine gehostete Fassung, bei der du einen Skill zur Prüfung hochlädst, gibt es nicht, und ein NVIDIA-Konto verlangt der Scanner ebenso wenig wie einen Zugangsschlüssel. Im Quelltext stecken keine Nutzungsmessung und kein Analysedienst, der Scans an den Hersteller meldet.

Ab Werk entsteht trotzdem eine Außenverbindung, denn der Scanner fragt für bekannte Schwachstellen in Abhängigkeiten die Datenbank OSV.dev ab und übermittelt dabei Paketnamen und Versionsnummern, keine Dateiinhalte. Das geschieht auch mit dem Schalter --no-llm. Ohne Netzverbindung fällt der Scanner automatisch auf eine mitgelieferte Liste zurück, die weniger Schwachstellen kennt.

Die zweite Stufe ist ab Werk eingeschaltet und zeigt auf den NVIDIA-Endpunkt build.nvidia.com. Ohne hinterlegten Schlüssel bricht sie mit einem Hinweis auf --no-llm ab. Den Anbieter wählst du selbst und hinterlegst bei Bedarf ein eigenes Sprachmodell, dann verarbeitet nur deine eigene Hardware den geprüften Code.

Ein Auftragsverarbeitungsvertrag ist nicht nötig, weil kein Anbieter in deinem Auftrag Daten verarbeitet, und bei der Prüfung eines Skills fallen in aller Regel keine personenbezogenen Daten an. Wer auch die letzte Außenverbindung schließen will, nimmt dem Rechner den Netzzugang und arbeitet mit der mitgelieferten Schwachstellenliste weiter. Für die DSGVO bleibt damit wenig offen.

Alternativen zu SkillSpector

• Paperclip: Verwaltet Teams aus KI-Agenten mit Rollen, Budgets und einem Nachweis über jeden Schritt. Paperclip deckt die Steuerung im laufenden Betrieb ab, während SkillSpector einzelne Skills vor der Installation auf Schwachstellen prüft.
• RoboRev: Prüft fortlaufend den Code, den ein KI-Agent selbst schreibt, und setzt damit erst nach der Installation an. Ob ein fremder Skill überhaupt eingerichtet werden darf, beantwortet SkillSpector davor.
• Allgemeine Code-Scanner wie Semgrep: Finden Sicherheitsmuster im Quellcode, kennen die agentenspezifischen Risiken wie eingeschleuste Anweisungen oder manipulierte Werkzeugbeschreibungen aber nicht. Neben SkillSpector bleiben sie für den übrigen Quellcode nützlich.