技术 · 熟练
2999 个技能包里，八成没有地方报漏洞
装之前能问的只有三件：谁维护 · 钉不钉得住 · 撤不撤得掉
技能包不是一段提示词，它是会读文件、会调工具、会在你不看的时候运行的东西 —— 它进的是执行位。一次针对 2,999 个公开仓库的审计给出了三个数：82.0% 没有任何漏洞披露入口，46.0% 的本地 MCP server 起在未钉版本上，32.7% 连 licence 都没有。更麻烦的是第二个数 —— 未钉版本意味着作者推一版新的，你的 agent 第二天就在跑另一份代码，而你这边什么都没改。这一页补的是上一页没展开的那一层：风险单位不是包名，是「版本 ＋ 权限 ＋ 运行上下文」三样一起。它给一张个人可以照着做的装前五问，也给一张团队才需要搭的五项控制。
方法 · 一图看懂
1
先看这批包的体检结果 — 82% 无披露入口 · 46% 未钉版本 · 三成无 licence
2
风险单位是三样一起 — 版本 + 权限 + 运行上下文，不是包名、不是星标
3
带脚本的比只写提示词的危险一倍 — 2.12 倍，且每次更新都要当新包重审
4
个人做装前五问，团队搭五项控制 — 两个层级，判据不同
5
把「谁在跑什么版本」写成一张能查的表 — 出事时这张表就是唯一的追溯入口
原理 · 为什么有效
技能包的信任问题，不在它写了什么，在它能在你不看的时候做什么。一段提示词写坏了，最坏结果是回答不好；一个技能包写坏了，它会读你的文件、跑你的命令、用你已经登录的身份发请求 —— 它继承的是你的权限，而不是它自己的。审计数据里最值得记住的不是 82% 这个比例，是它的结构：大多数包根本没有留出「出事找谁」的入口，因此一旦被改，受影响的一方连反馈渠道都没有。而「未钉版本」把这件事从「装的那一刻」延长成「之后的每一次更新」——你先审过的那一版，和它以后跑的版本，可以不是同一个东西。所以判据只能落在三处：来源可追、版本可钉、动作可撤。
适用场景
适用：已经在自己机器或团队里装了十个以上技能包 / 插件 / MCP server、说不清谁在跑什么版本的人；要把「哪些能装、哪些只能进沙箱」写成规则的人；被一次技能包更新悄悄改了行为、事后才发现的团队。
⛔ 不适用：只在网页聊天窗口里粘提示词、不涉及本地文件与工具调用的用法 —— 那种情况下「来源」不是第一问题。
⚠️ 前提：愿意先把自己已经装了的列一遍。没列过的清单，五个控制一个也落不了地。
自测 · 5 问
我这台机器上现在装了哪些技能包，我能一列说全吗？
其中有多少是钉住版本的，多少是「装最新」？
有没有哪一个包，我能说出它的维护方是谁、出问题找谁？
带可执行脚本的那几个，我读过它的脚本吗？还是只看了说明？
如果现在要卸掉一个，我知道卸载命令、也知道会留下哪些配置吗？
怎么上手 · 验证步骤
先只做一件事：把已经装了的列一张表，四列 —— 包名 / 来源 / 版本是否钉住 / 谁在用。列的过程会自己暴露问题：版本那一列写「latest」或写不出来的，就是 46% 那一档；来源那一列写「群里发的」「网上看到的」，就是 82% 那一档。这张表不用一次补全，先把写不出来的格子标红。第二步只做一件：把标红里最常用的那一个，改成钉住版本，并记下怎么卸。两项做完再谈第三项 —— 一次改五个包，改完你也说不清哪个改动起了作用。
自检动作：随便挑一个天天在用的包，试着回答三个问题 —— 维护方是谁、当前跑的是哪个版本号、怎么卸干净。三问答不全，说明你的安装是「凭感觉」而不是「有判据」；这不是能力问题，是流程缺了一步。