为何不应安装未经审核的AI智能体技能

作者通过实测和多个案例揭示了AI智能体技能的安全风险，指出技能文件可能包含恶意指令、隐藏字符或脚本，攻击者可伪装成正常步骤诱导模型执行危险操作。文中列举了ClawHub、1Password、Cisco等机构发现的恶意技能案例，强调技能文件需逐行审查、搜索网络调用、隐藏字符和敏感操作，并建议在无工具模式下运行测试。