Agent 技能目录创始人：信任问题在安装而非搜索
toohightottype · reddit · 2026-10-18
Skill Harbor(一个开放的 AI agent 技能/连接器目录)的创始人发帖讨论 agent 生态的信任问题：真正的风险不在找技能，而在安装——你等于让陌生人在你的机器上指挥你的 agent。
他们的做法很克制：不审计代码、不发"安全"徽章，而是做可验证的小事：
- 安装时锁定他们在沙箱里测试过的确切 commit，而不是仓库当前指向的版本
- 扫描安装提示词，在列表页用大白话标明它是否执行命令、联网、装包、写文件、使用 API key
- 列出测试期间安装过程联系过的所有主机
- 每晚复查下载内容的指纹，一旦变化就标记列表直到人工审查
他同时表示不做守门人：看起来有帮助的构建都会上架并尽量标注清楚，由用户自己决定。文末邀请开发者提交作品，并提问：阻止你安装别人技能的到底是代码、提示词，还是不知道测试后改了什么？
「编程与Agent」频道最新
- 纯 AI 产出 44 秒宣传片:一条角色设定图跑通全流程 — azed_ai · 2026-10-19
- 用 Claude Code 五步搭建你自己的算法交易分析器 — mdancho84 · 2026-10-19
- 验证 MCP 漏掉 9000mg/日用药错误，开发者公开征集对抗测试者 — Practical_Green5775 · 2026-10-19
- 团队发布印度首个股票研究 MCP，覆盖 5600+ 只 NSE/BSE 证券 — viewmind · 2026-10-19
- ComfyUI 侧边栏 JXL 只显对勾：一行补丁修复前端白名单问题 — themofostarboi_v2 · 2026-10-19
- Proof Before Reuse:0/30 拦住投毒技能进 Agent 程序性记忆 — maa____z · 2026-10-19