给 AI 技能包加签名验证
csinye · reddit · 2026-07-18
作者做了一个用于 签名和验证 AI agent skills 的开源协议与 CLI：skillerr。
核心设计包括：
- 将 skill 打包成封装好的 .skill 文件
- 对整个技能包做内容寻址和 SHA-256 校验，任何改动都能被检测出来
- 用类型化契约描述输入、权限、禁止行为和人工审核要求，而不是让 agent 解释自由文本
- 可选 Ed25519 签名，并通过 Sigstore/Rekor 透明日志锚定来源，便于独立验证
使用方式上，可以先检查再运行：skill inspect my-skill.skill --trust --claims；也可以把现有 SKILL.md 直接导入生成技能包。默认情况下，未签名包不会执行，必须显式加 --allow-untrusted 才能运行。
项目把协议和 CLI 分成两个包，方便别人基于同一规范做不同实现，而不用 fork 这一套。作者也在征求真正落地 agent skills 的反馈。
「编程与Agent」频道最新
- Cursor 发布 Agent SDK:Markdown 写提示词,TypeScript 定义工具 — soleio · 2026-10-27
- 形式化方法黑客松 Vibecheck 满员:在旧金山给真实软件做形式化验证 — spikedoanz · 2026-10-27
- 医疗 AI agent 输出如何验证?开发者征求单元测试与 LLM 评审之外的方案 — Practical_Green5775 · 2026-10-27
- AI 智能体或成运行代码的唯一方式：鲁棒性远超传统方法 — IgorCarron · 2026-10-27
- 让 Hermes Agent 当 QA：浏览器实测揪出 8 个网站问题 — techlatest_net · 2026-10-27
- 开源 FableCut 用远程 MCP 让 AI Agent 直接剪辑浏览器时间线 — FastPresence9799 · 2026-10-27