SkillSpector
Escáner de seguridad para habilidades de agentes de IA para detectar vulnerabilidades y patrones maliciosos.
Detecta inyecciones de comandos, exfiltración de datos y riesgos de la cadena de suministro en habilidades de Claude Code, Codex y MCP.
SkillSpector es un escáner de seguridad diseñado para evaluar habilidades de agentes de IA antes de instalarlas. Está dirigido a desarrolladores y profesionales de la seguridad que utilizan asistentes de IA y necesitan verificar los riesgos de confianza implícita en herramientas de agentes de terceros.
Qué es
La herramienta ejecuta un análisis de dos etapas que combina comprobaciones estáticas rápidas con evaluación semántica opcional mediante LLM en 71 patrones de vulnerabilidad. Integra búsquedas en directo de vulnerabilidades en OSV.dev y admite múltiples formatos de salida como SARIF y JSON para flujos de trabajo de CI/CD.
Para quién
Es adecuado para ingenieros de seguridad y desarrolladores que integran frameworks de agentes como Claude Code o Model Context Protocol y requieren protección en la cadena de suministro. No es adecuado para equipos sin soltura con la CLI o aquellos que no estén dispuestos a configurar credenciales de proveedores de LLM para el análisis semántico.
Funciones clave
Escaneos de entrada en múltiples formatos
Escanea repositorios Git, URLs, archivos zip, directorios locales o archivos individuales directamente.
71 patrones de vulnerabilidad
Detecta inyección de comandos, exfiltración de datos, seguimiento de flujos de datos no seguros y envenenamiento de herramientas MCP.
Motor de análisis de dos etapas
Combina el análisis estático rápido con la evaluación semántica opcional de LLM para una inspección profunda.
Supresión de falsos positivos en línea base
Suprime hallazgos conocidos mediante reglas glob o huellas digitales para que los reescaneos destaquen solo los nuevos problemas.
Listo en 3 pasos
Nuestro veredicto honesto
Lo mejor
- Escanea habilidades de agentes en múltiples formatos, incluidos repositorios Git, URLs y archivos zip.
- Realiza consultas de vulnerabilidades en directo contra OSV.dev para obtener datos de CVE en tiempo real.
- Soporta múltiples formatos de salida, incluidos informes de terminal, JSON, Markdown y SARIF.
- Proporciona un mecanismo de línea base para suprimir falsos positivos conocidos en reescaneos.
Sus límites
- Requiere Python 3.12+ y gestión por línea de comandos para la instalación y ejecución.
- El análisis semántico profundo requiere claves de API activas y acceso de pago a los proveedores de LLM compatibles.
- El uso de contenedores requiere familiaridad con la construcción de imágenes Docker y el montaje de volúmenes locales.
Precios y licencia
Gratuito bajo su licencia Apache-2.0, siendo los únicos costes de funcionamiento los derivados de tu propio hardware o las tarifas de uso de la API si habilitas proveedores de LLM de pago para el análisis semántico.
Empleos para hispanohablantes
879 puestos remotos abiertos de entrenamiento de IA, actualizados el 15 de noviembre de 2026; la mayoría paga $20–$175 por hora. 22 de ellos piden hispanohablantes. Zekai los lista gratis; la solicitud va a la plataforma del empleador.
Alternativas
Estas herramientas de IA evaluadas hacen el mismo trabajo al instante — de nuestro directorio puntuado.
Úsalo, o deja que lo configuremos
FAQ
¿Qué frameworks de agentes de IA admite SkillSpector?
Escanea habilidades diseñadas para sistemas como Claude Code, Codex CLI, Gemini CLI y Model Context Protocol (MCP).
¿Puedo ejecutar SkillSpector sin conexión activa a internet?
Sí, las consultas de vulnerabilidades en directo cuentan con un mecanismo automático de respaldo offline cuando OSV.dev no está accesible.
¿Cómo puedo ignorar hallazgos conocidos durante un escaneo?
Puedes generar un archivo de línea base usando `skillspector baseline` y referenciarlo con el indicador `--baseline` durante los escaneos.
