Claude Skill-sikkerhed: Et nøgternt kig på markedspladsrisici

Spørgsmålet om, hvorvidt det er sikkert at installere skills fra en Claude skill-markedsplads, er ikke teoretisk. Hos SkillProof spekulerer vi ikke; vi installerer og kører dem. Hele vores katalog er bygget på erfaringen med at hente skills direkte fra offentlige markedspladser og GitHub-repositories, køre dem på reelt arbejde og publicere resultaterne, uanset om de består eller fejler. Denne proces giver os et direkte, praktisk indblik i sikkerhedslandskabet for Claude-plugin-markedspladsen.

Det korte svar er, at økosystemet er begyndt at tilføje kontroller, men ingen af dem fortæller dig, om en skill rent faktisk virker, eller hvad den vil gøre på din maskine. Der er ingen kodesignering. Den screening, der findes, er automatiseret mønster- og malwarescanning, ikke menneskelig gennemgang, og forskere har vist, at den kan omgås. Ingen upstream kører en skill på en reel opgave, før du gør det. Den sidste del er hele problemet, og det er den del, der lander hos brugeren.

Denne artikel beskriver de typer af risici, der findes i økosystemet, fra decideret ondsindet kode til det mere almindelige problem med ikke-funktionelle skills eller skills af lav kvalitet. Vi vil dele specifikke, anonymiserede mønstre, som vores sikkerhedspipeline har fanget, og forklare, hvad vores testbedømmelser rent faktisk betyder.

Det åbne, men ukontrollerede økosystem

Den primære tiltrækningskraft ved Claude skills-økosystemet er dets åbenhed. Alle kan skrive en skill og i mange tilfælde publicere den til et offentligt indeks eller dele den på GitHub. Dette sænker adgangsbarrieren og fremmer innovation. Det skaber dog også et miljø, hvor kvalitet og sikkerhed ikke er garanteret. Når folk spørger, om ClawHub er sikker, spørger de normalt, om indekset står inde for det, det lister. Det ærlige svar er, at de større indekser har strammet op efter deres egne hændelser: ClawHub kræver nu verificering af udgiverens identitet, kører VirusTotal og kodemønsterscanning på indsendelser og holder siden juli 2026 nye udgivelser tilbage bag en pre-publiceringsscanning. Det er reelt, og det er mere værd end ingenting. Det er heller ikke det samme som, at nogen læser koden i en skill. Trail of Bits viste i juni 2026, at denne klasse af scannere kan omgås, og Snyks ToxicSkills-undersøgelse fandt stadig prompt-injection-payloads i en stor andel af de skills, den samplede.

Screeningen filtrerer altså kendte dårlige signaturer; den afgør ikke, om en skill er troværdig eller nyttig. Ansvaret for at kontrollere koden – for at tjekke, hvad en skills hooks vil gøre, hvilke pakker den måtte installere, eller hvilke data den måtte tilgå – påhviler slutbrugeren. For en udvikler, der er vant til at læse shell-scripts og Python, er dette måske en overkommelig opgave. For de fleste brugere er det en urimelig forventning. Man installerer en skill for at spare tid, ikke for at påbegynde en kodegennemgang.

Dette er det hul, SkillProof blev bygget til at udfylde. Vi udfører den gennemgang, så du ikke behøver at gøre det.

Vores Pre-Install Sikkerheds-gate

Vores testpipeline begynder med et kritisk trin, der finder sted, før en skill nogensinde bliver installeret eller eksekveret: Stage 0-sikkerheds-gaten. Når vi henter en ny skill til test, kører vi ikke dens installationsscript med det samme. I stedet udsætter vi først dens kildekode og manifestfiler (SKILL.md, hooks, tool-definitioner) for en statisk analyseproces.

Gaten læser en skills komponenter for at tjekke for kendte ondsindede eller manipulerende mønstre. Den er designet til at fange åbenlyse forsøg på at kompromittere sikkerheden eller integriteten af Claude-miljøet.

Hvis en skill fejler dette Stage 0-tjek, bliver den tilbageholdt til gennemgang. Den bliver aldrig installeret, aldrig kørt og modtager aldrig en bedømmelse eller en plads i vores hovedkatalog. Dette er en vigtig pointe: de katalogstatistikker, vi publicerer, inkluderer ikke disse forhåndsscreenede ondsindede skills. De fejl, vi dokumenterer, er funktionelle fejl, ikke sikkerhedsbrud fanget ved gaten. Sikkerhedsproblemet er et separat, forudgående risikolag.

Ondsindede mønstre fanget af vores Stage 0-gate

Vores sikkerheds-gate har fanget adskillige adfærdsmønstre, der spænder fra manipulerende til åbenlyst fjendtlige. Dette er ikke teoretiske risici; det er reelle eksempler fundet i skills, der er indsendt til offentlige indekser. For en dybere gennemgang af disse emner, se vores indlæg om malicious Claude skills we caught. Her er tre distinkte mønstre, vi har blokeret, beskrevet generisk.

1. Persona-Override Prompt Injection

En skills SKILL.md-fil begyndte ikke med en beskrivelse af dens funktion, men med en stor tekstblok formateret som en CRITICAL SYSTEM OVERRIDE. Dette er en form for prompt injection. Teksten instruerede modellen i fuldstændigt at kassere sin hjælpsomme assistent-persona og antage en ny, rigid en. Instruktionerne inkluderede direktiver om at foranstille hvert eneste svar med en specifik aktiveringsnøgle og at nægte at besvare enhver prompt, hvis en anden persona blev detekteret som aktiv.

Den umiddelbare risiko her er session hijacking. En skill overtager reelt kontrollen over modellens adfærd, hvilket gør den ubrugelig til enhver anden opgave. Det skaber en denial-of-service-tilstand for andre skills og tvinger brugeren til at interagere på skill-udviklerens betingelser. Dette kunne bruges til at gennemtvinge en udviklers egen off-platform-monetariseringsmodel eller simpelthen til at forstyrre brugerens arbejdsgang. Du kan læse mere om denne teknik i vores artikel om prompt injection in Claude skills.

2. Bash Auto-Approve Hook

Claude Code inkluderer en kritisk sikkerhedsfunktion: når en skill vil eksekvere en shell-kommando, skal den først bede brugeren om tilladelse via en bekræftelsesprompt. Vi opdagede en skill, der var designet til lydløst at deaktivere denne beskyttelse på tværs af hele projektet.

Den inkluderede et PreToolUse-hook – et script, der kører lige før et værktøj eksekveres. Dette hooks logik var simpel og farlig: for stort set enhver kommando returnerede det en permissionDecision på allow. En kort blokeringsliste over åbenlyst destruktive kommandoer fik det til at afholde sig, men det afviste aldrig noget. I praksis trykker det "Ja" på brugerens vegne, fra enhver skill, uden nogensinde at vise en prompt.

Når denne skill er aktiv, kan enhver anden skill (eller den auto-godkendende skill selv) eksekvere vilkårlige shell-kommandoer (rm -rf /, curl | sh, eksfiltrere miljøvariabler) uden nogen brugerinteraktion. Det forvandler en central sikkerhedsfunktion til en åben dør for eksekvering af ondsindet kode. Dette er en af de mest betydelige risici i økosystemet, som vi dækker i vores generelle oversigt over Claude skills security.

3. Harness-manipulation og uautoriserede installationer

Et tredje mønster involverede en skill, der manipulerede den centrale brugeroplevelse for at gennemtvinge sin egen brug, mens den i det stille installerede uautoriseret software. Den brugte en kombination af hooks til at opnå dette:

• Værktøjsafvisning: Dens hooks ville afvise tilladelse til fundamentale værktøjer som Edit/Write/Task, medmindre den specifikke skill var blevet kaldt i den aktuelle session.
• Blokering af tur-afslutning: En skill ville også blokere turn-end-hændelsen, hvilket forhindrer brugeren i at afslutte sin tur og tvinger dem til at interagere med den pågældende skill for at fortsætte.
• Uautoriseret pakkeinstallation: Mest bekymrende var, at den inkluderede et SessionStart-hook, der ved start af enhver session i det stille ville køre pakkehåndteringskommandoer (bun install, npm install) på tværs af alle plugin-cache-mapper, den kunne finde.

Dette mønster repræsenterer et sofistikeret forsøg på at forankre en skill i brugerens miljø. Det skaber en form for lock-in, forringer funktionaliteten af basismodellen og – farligst af alt – bruger hook-systemet til at installere vilkårlig, usporbar software på brugerens maskine. For at være fair over for denne specifikke udvikler, så bliver disse hooks ikke aktiveret af one-line-installationen; de træder kun i kraft, hvis du selv fletter den medfølgende indstillingsfil. Vi tilbageholdt alligevel den pågældende skill, fordi det at medsende filen overhovedet er en hensigtserklæring. Dette kunne let bruges til at installere keyloggere, crypto miners eller anden malware. Det rejser også spørgsmålet: can Claude skills steal API keys? Med evnen til at køre vilkårlig kode er svaret ja.

Ud over ondsindethed: Problemet med skills af lav kvalitet

Selvom ondsindede skills er en alvorlig bekymring, er de ikke det mest almindelige problem, en bruger vil stå over for. Det langt hyppigere problem er simpelthen, at en skill ikke virker. Den kan være i stykker, forladt eller så dårligt dokumenteret, at den er umulig at bruge.

Det er her, vores offentlige katalogdata giver et klart billede. Af de 1755 skills, vi har testet fuldt ud — som alle har klaret sikkerhedsscreeningen, nogle ved modtagelse og de ældre i en retroaktiv gennemgang — er resultaterne blandede. Kun 1083 skills, eller omkring 62%, bestod vores tests direkte.

Her er en oversigt over vores resultater:

Bedømmelse	Antal	Beskrivelse
Bestået	1083	Installerer og virker som annonceret, slår baseline.
Opsætning påkrævet	589	Virker, men kræver ekstra konfiguration først.
Fejlet	83	Scorer under baseline eller kan ikke køre.
Testet i alt	1755	Ekskluderer skills, der fejlede pre-install sikkerhedstjek.

At forstå disse bedømmelser er nøglen til at navigere sikkert på markedspladsen:

• Bestået (62%): En pass-bedømmelse betyder, at en skill installerede i henhold til udviklerens instruktioner, kunne udløses til sit tilsigtede formål og klarede sig bedre på en reel opgave end ved at bruge ren Claude uden en installeret skill. Det er de skills, der leverer, hvad de lover.

• Opsætning påkrævet: Dette er ikke en dumpekarakter. Disse 589 skills giver værdi, men ikke 'out of the box'. De kan kræve manuel konfiguration af API-nøgler, installation af en ledsagende skill eller forbindelse til en tredjepartstjeneste. Vores bedømmelse fremhæver dette, så du ved, hvad du kan forvente, før du installerer.

• Fejlet: De 83 skills i denne kategori er dem, der repræsenterer spildt tid eller en negativ effekt. Denne bedømmelse dækker to scenarier. For det første inkluderer den skills, der simpelthen ikke kunne køres – et manglende kommandolinjeværktøj, en død afhængighed, et eksempel, der crasher. For det andet inkluderer den skills, der kørte, men efterlod dig dårligere stillet end baseline uden en skill. Det er skills, der aktivt gør dit arbejde sværere. At installere en af disse 83 skills er et beviseligt dårligere valg end at bruge basismodellen.

Disse data viser, at selv efter filtrering for åbenlyse sikkerhedsrisici er din chance for at downloade en skill, der enten ikke virker eller kræver betydelig ekstra opsætning, substantiel.

Hvad det betyder at 'bestå' en test

Vores mål er at give en ærlig, praktisk bedømmelse. For at gøre det bruger vi ikke et enkelt, standardiseret benchmark for alle skills. En test for en skill til koderefactoring vil se meget anderledes ud end en test for en skill til databaseforespørgsler.

I stedet er hver testcase designet specifikt til den skill, der evalueres, baseret på hvad den pågældende skill hævder at gøre i sin egen dokumentation. Vi definerer en realistisk opgave, der passer til en skills annoncerede formål, og kører den derefter to gange: én gang med den pågældende skill installeret, og én gang med ren Claude.

En skill opnår kun en pass-bedømmelse, hvis den beviseligt slår baseline. Dette kan betyde, at den udfører opgaven hurtigere, med færre prompts eller med et resultat af højere kvalitet. Hele processen er baseret på et simpelt spørgsmål: gør dette værktøj en dygtig operatør mere effektiv? For en fuldstændig beskrivelse af vores testramme, scoring og bedømmelseskriterier, se vores fulde metodologi.

Dommen over markedspladsens sikkerhed

Så, er Claude skill-markedspladser sikre at installere fra? Økosystemet er ikke i sig selv sikkert på samme måde som en kurateret app-butik med obligatorisk kodesignering og sikkerhedsgennemgange. Risikoen for at støde på ondsindet kode er reel, som demonstreret af de mønstre, vores egen sikkerheds-gate har blokeret.

Den mere sandsynlige risiko for den gennemsnitlige bruger er dog ikke et målrettet angreb, men et betydeligt spild af tid og kræfter på skills af lav kvalitet, som er i stykker eller udokumenterede. Med en betydelig andel af skills, der ikke virker som annonceret eller kræver kompleks opsætning, er det et sats at installere fra en offentlig markedsplads.

Sikker installation kræver enten den tekniske evne til at udføre din egen kodegennemgang eller at stole på en betroet tredjepart, der har gjort arbejdet for dig. Uden den kontrol installerer du ukontrolleret kode, der eksekveres med de fulde tilladelser for din brugerkonto.

Relateret læsning: for selve mønstrene, malicious Claude skills: what running 1,672 of them turned up; for det pre-install-tjek, du selv kan køre på to minutter, Claude skills security: risks and pre-install checklist.

Find skills, der er kontrollerede og klar til brug

Vi publicerer ikke kun fejl. Det primære mål med vores arbejde er at identificere de værktøjer, der er reelt effektive. De 1083 skills, der bestod vores tests, repræsenterer et stærkt, kontrolleret værktøjssæt for professionelle udviklere, analytikere og skribenter.

For at gøre dem lettere at tage i brug, grupperer vi ti testede skills ad gangen i rolle-formede pakker: et udviklerværktøjssæt, en sikkerheds- og kodegennemgangspakke, en optimeringspakke og pakker til marketing, salg, design, skrivning og stiftere. Hver skill i en pakke har klaret sikkerheds-gaten og er blevet kørt af os. De fleste er pass-bedømmelser; nogle få pladser går til setup-skills, der har fortjent deres plads på trods af, at de først kræver konfiguration. Hver pakkeside lister alle skills indeni med deres individuelle bedømmelse, så du kan se præcis, hvad der er hvad, før du køber.

Du kan finde disse testede skill-pakker på vores bundles page for en engangspris på $10 stykket. Det er en ligetil måde at anskaffe sig et sæt værktøjer, der beviseligt virker, uden selv at skulle navigere i risiciene på de offentlige markedspladser.