SkillSpector
Scanner de sécurité pour les compétences d'agents IA afin de détecter les vulnérabilités et les schémas malveillants.
Détectez l'injection de requêtes, l'exfiltration de données et les risques de la chaîne d'approvisionnement dans les compétences de Claude Code, Codex et MCP.
SkillSpector est un scanner de sécurité conçu pour évaluer les compétences des agents IA avant de les installer. Il cible les développeurs et les professionnels de la sécurité utilisant des assistants IA qui ont besoin d'évaluer les risques de confiance implicite dans les outils d'agents tiers.
Qu'est-ce que c'est
L'outil exécute une analyse en deux étapes combinant des vérifications statiques rapides et une évaluation sémantique LLM optionnelle sur 71 schémas de vulnérabilité. Il intègre des recherches de vulnérabilités en direct sur OSV.dev et prend en charge plusieurs formats de sortie tels que SARIF et JSON pour les pipelines CI/CD.
Pour qui
Il convient aux ingénieurs de sécurité et aux développeurs intégrant des frameworks d'agents tels que Claude Code ou Model Context Protocol qui nécessitent une protection de la chaîne d'approvisionnement. Il ne convient pas aux équipes manquant de maîtrise de la CLI ou à celles ne souhaitant pas configurer les identifiants de fournisseurs de LLM pour l'analyse sémantique.
Fonctionnalités clés
Scans d'entrées multi-formats
Scannez directement des dépôts Git, des URL, des fichiers zip, des répertoires locaux ou des fichiers uniques.
71 schémas de vulnérabilité
Détectez l'injection de requêtes, l'exfiltration de données, le suivi du taint et l'empoisonnement d'outils MCP.
Moteur d'analyse en deux étapes
Combinez une analyse statique rapide avec une évaluation sémantique LLM optionnelle pour une inspection approfondie.
Suppression des faux positifs de référence
Supprimez les résultats connus via des règles glob ou des empreintes pour que les re-scans ne mettent en évidence que les nouveaux problèmes.
Opérationnel en 3 étapes
Notre verdict honnête
Ses atouts
- Scanne les compétences des agents sur plusieurs formats, y compris les dépôts Git, les URL et les fichiers zip.
- Effectue des requêtes de vulnérabilité en direct sur OSV.dev pour des données CVE en temps réel.
- Prend en charge plusieurs formats de sortie, notamment le terminal, JSON, Markdown et les rapports SARIF.
- Fournit un mécanisme de référence pour supprimer les faux positifs connus lors des re-scans.
Ses limites
- Nécessite Python 3.12+ et une gestion en ligne de commande pour l'installation et l'exécution.
- L'analyse sémantique approfondie nécessite des clés API actives et un accès payant aux fournisseurs de LLM pris en charge.
- L'utilisation de conteneurs nécessite une familiarité avec la création d'images Docker et le montage de volumes locaux.
Tarifs & licence
Gratuit sous licence Apache-2.0, les seuls frais d'exploitation dépendant de votre propre matériel ou des frais d'utilisation d'API si vous activez des fournisseurs de LLM payants pour l'analyse sémantique.
Missions pour francophones
879 missions ouvertes à distance en entraînement d’IA, mises à jour le 15 novembre 2026 ; la plupart paient $20–$175 de l’heure. 8 d’entre elles demandent des francophones. Zekai les liste gratuitement ; la candidature se fait sur la plateforme de l’employeur.
Alternatives
Ces outils IA évalués font le même travail instantanément — depuis notre annuaire noté.
Utilisez-le, ou laissez-nous l'installer
FAQ
Quels frameworks d'agents IA SkillSpector prend-il en charge ?
Il scanne les compétences conçues pour des systèmes tels que Claude Code, Codex CLI, Gemini CLI et Model Context Protocol (MCP).
Puis-je exécuter SkillSpector sans connexion Internet active ?
Oui, les recherches de vulnérabilités en direct disposent d'une solution de repli hors ligne automatique lorsque OSV.dev est inaccessible.
Comment ignorer les résultats connus lors d'un scan ?
Vous pouvez générer un fichier de référence en utilisant `skillspector baseline` et le référencer avec l'indicateur `--baseline` lors des scans.
