Skills prüfen, bevor du sie installierst — der kostenlose Scanner von NVIDIA.
Ein Skill ist kein Add-on, sondern fremder Code, der mit deinen Rechten auf deinem Rechner läuft. Beim Installieren prüft ihn niemand. SkillSpector liest ihn vorher: Es sucht nach eingeschleusten Anweisungen, abfließenden Daten und missbrauchten Werkzeugen und gibt dir einen Risikowert von 0 bis 100, daneben jede Fundstelle mit der Zeile, in der sie steht. Hier stehen die Installation in einer Zeile, die Scan-Befehle, ein echter roter Bericht aus meinem Testlauf und die Stellen, an denen das Werkzeug aufhört.
Du hast NVIDIA kommentiert und den Link per DM bekommen? Genau richtig — das hier ist die komplette Anleitung aus dem Video.
Das ist ein echter Bericht: ein selbst gebauter Beispiel-Skill, gescannt am 31.08.2026. Zwei Dateien, vier schwere Funde, klares Urteil.
Bevor du startest
Was du brauchst
- Ein Terminal. Auf dem Mac ist das die App „Terminal“, unter Windows die PowerShell.
- ‹uv› auf dem Rechner, das Installations-Werkzeug für Python-Programme. Der Befehl unten setzt es voraus.
- Etwas zum Prüfen: ein Skill-Ordner, eine einzelne ‹SKILL.md›, eine ZIP-Datei oder einfach die GitHub-Adresse des Skills.
- Für die zweite, tiefere Stufe zusätzlich eine angemeldete Claude-Code-Installation. Einen neuen Zugangsschlüssel brauchst du dafür nicht.
Was ein Skill mit deinen Rechten darf
Ein Skill sieht aus wie eine Erweiterung, die man anklickt. Technisch ist er eine Textdatei mit Anweisungen für deinen Agenten, oft zusammen mit ausführbaren Skripten. Beides läuft mit deinen Rechten auf deinem Rechner: dieselben Ordner, dieselben Schlüssel, derselbe Netzzugang wie bei dir.
Anthropic schreibt das in der eigenen Claude-Code-Doku so hin. Plugins und Marktplätze könnten beliebigen Code mit deinen Nutzerrechten ausführen, deshalb solle man nur Quellen installieren, denen man vertraut. Eine automatische Prüfung auf Schadinhalte beim Installieren gibt es laut Anthropics Hilfeseite nur im Enterprise-Plan, und auch dort nur bei eingeschalteter Skill-Prüfung.
Wie groß das Feld ist, hat eine Studie vermessen. „Agent Skills in the Wild“ hat 31.132 Skills analysiert: 26,1 Prozent haben mindestens eine Schwachstelle, 5,2 Prozent zeigen Muster, die stark auf böswillige Absicht hindeuten. Skills mit eigenem Skript sind 2,12-mal so oft betroffen wie reine Anleitungs-Skills. Eine Schwachstelle ist noch kein Schadprogramm, aber sie ist eine offene Tür, von der du nichts weißt.
SkillSpector installieren
NVIDIA hat für genau diese Lücke einen Scanner veröffentlicht, kostenlos und quelloffen unter der Apache-2.0-Lizenz. Die Installation ist eine Zeile:
uv tool install git+https://github.com/NVIDIA/skillspector.git
Danach liegt ein ausführbares Programm namens skillspector auf deinem Rechner und ist überall im Terminal aufrufbar. Aktualisieren kannst du es später mit einer zweiten Zeile:
uv tool update skillspector
Den ersten Scan starten
Der Normalfall ist ein Ordner. Zeig einfach darauf:
skillspector scan ./mein-skill/
Es geht auch enger und weiter. Eine einzelne SKILL.md reicht, eine ZIP-Datei geht ebenso, und am bequemsten ist die GitHub-Adresse: Dann holt sich SkillSpector den Code selbst, und du hast fremde Dateien gar nicht erst auf der Platte, während du noch überlegst.
skillspector scan https://github.com/user/mein-skill
Willst du es schnell haben, hängst du --no-llm an. Dann läuft nur die statische Stufe, die in Sekunden durch ist. Eines dabei ehrlich dazugesagt: Auch dieser Lauf geht ins Netz, weil die Abfrage der Abhängigkeiten bei OSV.dev in der schnellen Stufe steckt. Ein völlig abgeschotteter Lauf ist das nicht.
skillspector scan ./mein-skill/ --no-llm
Die tiefe Prüfung ohne neuen Zugangsschlüssel
Die zweite Stufe lässt ein Sprachmodell die markierten Stellen im Zusammenhang lesen. Sie wirft Fehlalarme raus und schreibt zu jedem Fund eine Begründung. Genau hier steigen die meisten aus, weil sie einen neuen Zugang vermuten. Brauchst du nicht: Eine Zeile biegt den Scanner auf deine vorhandene, bereits angemeldete Claude-Anmeldung um.
export SKILLSPECTOR_PROVIDER=claude_cli
Andere Anbieter gehen genauso. Eingebaut sind codex_cli, gemini_cli, openai, anthropic sowie ein lokal laufendes Ollama, wenn du gar nichts nach außen geben willst.
Wie aus Funden ein Urteil wird
Am Ende steht ein Risikowert zwischen 0 und 100 mit einer Empfehlung dahinter:
- 0 bis 20 Punkte, Stufe LOW, Empfehlung SAFE
- 21 bis 50 Punkte, Stufe MEDIUM, Empfehlung CAUTION
- 51 bis 80 Punkte, Stufe HIGH, Empfehlung DO NOT INSTALL
- 81 bis 100 Punkte, Stufe CRITICAL, Empfehlung DO NOT INSTALL
Die Punkte kommen aus den Funden. Ein kritischer Fund bringt 50 Punkte, ein hoher 25, ein mittlerer 10, ein niedriger 5. Bringt der Skill ein ausführbares Skript mit, wird das Ergebnis am Schluss mit 1,3 multipliziert.
Rechne das einmal durch, dann verstehst du die Schärfe der Skala: Zwei hohe Funde in einem Skill mit Skript ergeben 65 Punkte. Damit steht dort DO NOT INSTALL, ohne dass irgendetwas Kritisches dabei war.
Der Testlauf mit einem präparierten Skill
Für den Test habe ich mir einen Beispiel-Skill selbst gebaut, statt fremde Arbeit an den Pranger zu stellen. Er enthält zwei Dinge, die in der Praxis wirklich vorkommen: eine versteckte Anweisung in einem HTML-Kommentar, die beim Durchlesen unsichtbar bleibt, und ein Skript, das Umgebungsvariablen einsammelt und verschickt. Umgebungsvariablen sind der Ort, an dem deine Zugangsschlüssel liegen.
Beim Lesen der Datei fällt der HTML-Kommentar nicht auf, er wird in der Anzeige schlicht nicht dargestellt. Der Scanner meldet ihn trotzdem:
Risk Assessment Score 100/100 Severity CRITICAL Recommendation DO NOT INSTALL MCP/Tool Metadata Poisoning SKILL.md:3 Confidence: 80% Instruction Override SKILL.md:10 Confidence: 80% Hidden Instructions SKILL.md:10 Confidence: 70% Env Variable Harvesting scripts/sync.py:6 Confidence: 70%
Vier Funde, jeder mit Datei und Zeilennummer, dazu die Sicherheit, mit der das Werkzeug sich festlegt. Der volle Wert von 100 kommt nicht von einem einzelnen Treffer, sondern vom Zusammenlaufen: mehrere schwere Funde, dazu der Faktor für das mitgelieferte Skript. Praktisch heißt das, du liest zwei Zeilen und weißt, dass du diesen Skill nicht anfasst.
Berichte als Datei ausgeben
Für die Ablage oder für eine automatische Prüfung schreibst du den Bericht in eine Datei. Drei Formate stehen bereit: json für Weiterverarbeitung, markdown zum Lesen und sarif für Werkzeuge, die Sicherheitsbefunde einsammeln.
skillspector scan ./mein-skill/ --format markdown --output bericht.md
Wo die Prüfung aufhört
SkillSpector ist ein Türsteher und kein Wachhund. Es läuft nicht im Hintergrund mit und schiebt sich auch nicht von allein zwischen deinen Agenten und einen frisch installierten Skill. Du rufst es vor der Installation selbst auf. Dauerhaft wird es nur, wenn du es dir einhängst: als MCP-Server über skillspector mcp, als Pi-Erweiterung oder als Prüfschritt in GitHub Actions, der bei einem roten Ergebnis den Vorgang abbricht.
Ein grüner Wert ist deshalb kein Freibrief, sondern eine Vorabprüfung. Er sagt, dass die bekannten Muster nicht angeschlagen haben. Ein sorgfältig getarnter Angriff kann daran vorbeikommen, und ein harmloser Skill kann falsch anschlagen.
Und der Scanner selbst kostet dich etwas Vertraulichkeit. Mit eingeschalteter zweiter Stufe geht der markierte Skill-Code an den Modell-Anbieter, den du eingestellt hast. Wenn dir das zu weit geht, nimm ein lokales Ollama oder bleib bei der schnellen Stufe. Der Handgriff bleibt derselbe, und er dauert weniger als eine Minute.
Erfolgs-Check
Das kannst du danach
- Du prüfst jeden Skill, bevor er auf deinem Rechner landet, statt ihm blind zu vertrauen.
- Du scannst einen Ordner, eine einzelne Skill-Datei, eine ZIP-Datei oder eine GitHub-Adresse, ohne vorher irgendetwas herunterzuladen.
- Du bekommst einen Risikowert von 0 bis 100 mit klarer Empfehlung und jede Fundstelle mit Datei und Zeilennummer.
- Du schaltest die tiefe Prüfung über deine bestehende Claude-Anmeldung frei, ohne dir einen neuen Zugang zu besorgen.
- Du weißt, wo die Prüfung aufhört: Sie läuft nicht im Hintergrund mit, und ein grüner Wert ist eine Vorabprüfung.
Was kam bei deinem ersten Scan heraus? Kommentier beim Reel, mich interessiert, wie oft es wirklich rot wird.
Kurz beantwortet
Häufige Fragen
Was macht SkillSpector genau?
Es ist ein Scanner für Agenten-Skills. Du richtest ihn auf einen Skill, er liest die Anleitungsdatei und alle mitgelieferten Skripte und sucht nach bekannten Angriffsmustern: Anweisungen, die dem Agenten etwas anderes befehlen als der Nutzer, Daten, die nach außen abfließen, Werkzeuge, die missbraucht werden. Am Ende bekommst du einen Risikowert von 0 bis 100, eine Empfehlung und jeden Fund mit Datei und Zeilennummer.
Was kostet es und wer steckt dahinter?
Es kostet nichts. SkillSpector kommt von NVIDIA, steht unter der Apache-2.0-Lizenz offen auf GitHub und hatte dort am 31. August 2026 rund 15.400 Sterne. Es ist Teil von NVIDIAs Verified-Skills-Pipeline, also des Ablaufs, mit dem dort Skills vor der Freigabe geprüft werden.
Läuft das danach im Hintergrund mit?
Nein, und das ist der wichtigste Unterschied zu einem Virenscanner. SkillSpector ist ein Türsteher: Du rufst ihn selbst auf, bevor du einen Skill installierst. Dauerhaft wird er nur, wenn du ihn dir einhängst, etwa als MCP-Server über ‹skillspector mcp›, als Pi-Erweiterung oder als Prüfschritt in GitHub Actions. Wer nichts davon einrichtet, hat einen Handgriff vor der Installation und danach nichts mehr.
Heißt „jeder vierte Skill hat eine Sicherheitslücke“, dass da Schadsoftware drin ist?
Nein, und der Unterschied ist wichtig. Die Zahl stammt aus der arXiv-Studie „Agent Skills in the Wild“, die 31.132 Skills systematisch analysiert hat. Dort haben 26,1 Prozent mindestens eine Schwachstelle, und 5,2 Prozent zeigen Muster, die stark auf böswillige Absicht hindeuten. Eine Schwachstelle ist eine offene Flanke, kein Schadprogramm. Auffällig ist noch etwas anderes: Skills, die ein ausführbares Skript mitbringen, sind 2,12-mal so oft betroffen wie reine Anleitungs-Skills.
Prüft Claude Code neue Skills nicht selbst?
Bei den meisten Konten nicht. Anthropic schreibt in der eigenen Claude-Code-Doku, dass Plugins und Marktplätze beliebigen Code mit deinen Nutzerrechten auf deinem Rechner ausführen können, und rät, nur Quellen zu installieren, denen man vertraut. Eine automatische Prüfung auf Schadinhalte beim Installieren und Aktualisieren gibt es laut Anthropics eigener Hilfe nur im Enterprise-Plan, und auch dort nur, wenn die Organisation die Skill-Prüfung eingeschaltet hat. Wer allein arbeitet, hat diese Prüfung nicht.
Gehen dabei Daten von mir irgendwohin?
Ja, und das gehört dazugesagt. Schaltest du die zweite Stufe ein, geht der markierte Skill-Code an den Modell-Anbieter, den du eingestellt hast. Und selbst der schnelle Lauf mit ‹--no-llm› geht ins Netz, weil die Abfrage der Abhängigkeiten bei OSV.dev in der schnellen Stufe steckt. Wirklich offline bist du erst ohne Netzverbindung, und dann fehlen dir die aktuellen Daten zu bekannten Sicherheitslücken.
Was bedeutet ein grünes Ergebnis?
Dass der Scanner nichts gefunden hat, was seine Muster kennen. Das ist eine Vorabprüfung, kein Freibrief. Ein sauber getarnter Angriff kann durchrutschen, genauso wie ein harmloser Skill mal falsch anschlägt. Grün heißt: Ich habe nachgesehen, bevor ich es installiert habe.
Kann ich auch prüfen, ohne den Skill vorher herunterzuladen?
Ja. Gib statt eines Ordners einfach die GitHub-Adresse an, SkillSpector holt sich den Code selbst. Das ist der bequemste Weg, weil du fremden Code so gar nicht erst auf deiner Platte hast, während du noch überlegst.
Jedes Video hat sein eigenes Keyword — du findest es im Video und in der Caption. Kommentier es, und die Anleitung landet automatisch in deinen DMs. Kostenlos, ohne Anmeldung.
Folg @ramzi_goessing für tägliche Agent-Demos →