Bezpieczeństwo umiejętności Claude: Rzetelna analiza ryzyka

Pytanie o bezpieczeństwo instalacji umiejętności z marketplace'u Claude nie jest teoretyczne. W SkillProof nie spekulujemy – instalujemy je i uruchamiamy. Nasz cały katalog jest zbudowany na doświadczeniu pobierania umiejętności bezpośrednio z publicznych marketplace'ów i repozytoriów GitHub, uruchamianiu ich przy rzeczywistych zadaniach i publikowaniu wyników, niezależnie od tego, czy przejdą testy, czy nie. Ten proces daje nam bezpośredni, praktyczny wgląd w krajobraz bezpieczeństwa ekosystemu umiejętności Claude.

Krótka odpowiedź: ekosystem zaczął wprowadzać pewne weryfikacje, ale żadna z nich nie informuje, czy dana umiejętność faktycznie działa ani co zrobi na twojej maszynie. Nie ma podpisywania kodu. Istniejące mechanizmy to zautomatyzowane skanowanie w poszukiwaniu wzorców i złośliwego oprogramowania, a nie ręczna weryfikacja, a badacze udowodnili, że można je ominąć. Nikt „wyżej” nie uruchamia umiejętności na prawdziwym zadaniu przed tobą. Ten ostatni punkt to sedno problemu, który spada na użytkownika.

Ten artykuł szczegółowo opisuje rodzaje ryzyka obecne w ekosystemie, od jawnie złośliwego kodu po częstszy problem niedziałających lub niskiej jakości umiejętności. Udostępnimy konkretne, zanonimizowane wzorce, które wychwycił nasz potok bezpieczeństwa, i wyjaśnimy, co oznaczają nasze werdykty z testów.

Otwarty, lecz niesprawdzony ekosystem

Główną zaletą ekosystemu umiejętności Claude jest jego otwartość. Każdy może napisać umiejętność i w wielu przypadkach opublikować ją w publicznym indeksie lub udostępnić na GitHubie. Obniża to próg wejścia i zachęca do innowacji. Tworzy to jednak również środowisko, w którym jakość i bezpieczeństwo nie są gwarantowane. Kiedy ludzie pytają, czy ClawHub jest bezpieczny, zwykle pytają, czy indeks ręczy za to, co listuje. Szczera odpowiedź jest taka, że większe indeksy zaostrzyły zasady po własnych incydentach: ClawHub wymaga teraz weryfikacji tożsamości wydawcy, uruchamia skanowanie VirusTotal i analizę wzorców kodu dla zgłoszeń, a od lipca 2026 roku wstrzymuje nowe publikacje do czasu skanowania przedpublikacyjnego. To realne działania i są warte więcej niż nic. Nie jest to jednak tożsame z przeczytaniem kodu umiejętności przez człowieka. W czerwcu 2026 roku Trail of Bits pokazało, że tego typu skanery można ominąć, a badanie ToxicSkills firmy Snyk nadal znajdowało ładunki typu prompt-injection w dużej części analizowanych umiejętności.

Skanowanie filtruje więc znane, szkodliwe sygnatury; nie decyduje o tym, czy umiejętność jest godna zaufania lub użyteczna. Odpowiedzialność za weryfikację kodu — sprawdzenie, co zrobią hooki umiejętności, jakie pakiety może zainstalować lub do jakich danych uzyskać dostęp — spoczywa na użytkowniku końcowym. Dla programisty, który swobodnie czyta skrypty shellowe i Pythona, może to być zadanie do wykonania. Dla większości użytkowników jest to jednak nierozsądne oczekiwanie. Instalujesz umiejętność, aby zaoszczędzić czas, a nie po to, by rozpoczynać audyt kodu.

To jest luka, którą wypełnia SkillProof. My przeprowadzamy ten audyt, żebyś ty nie musiał.

Nasza bramka bezpieczeństwa przed instalacją

Nasz potok testowy zaczyna się od kluczowego kroku, który ma miejsce, zanim jakakolwiek umiejętność zostanie zainstalowana lub wykonana: bramki bezpieczeństwa Etapu 0. Gdy pobieramy nową umiejętność do testów, nie uruchamiamy od razu jej skryptu instalacyjnego. Zamiast tego najpierw poddajemy jej kod źródłowy i pliki manifestu (SKILL.md, hooki, definicje narzędzi) procesowi analizy statycznej.

Bramka odczytuje komponenty umiejętności, aby sprawdzić, czy nie zawierają znanych złośliwych lub manipulacyjnych wzorców. Jest zaprojektowana tak, aby wychwytywać jawne próby naruszenia bezpieczeństwa lub integralności środowiska Claude.

Jeśli umiejętność nie przejdzie tej weryfikacji na Etapie 0, jest wstrzymywana do dalszej analizy. Nigdy nie jest instalowana, uruchamiana ani nie otrzymuje werdyktu czy wpisu w naszym głównym katalogu. To ważna uwaga: statystyki katalogu, które publikujemy, nie obejmują tych wstępnie odfiltrowanych złośliwych umiejętności. Awarie, które dokumentujemy, to awarie funkcjonalne, a nie naruszenia bezpieczeństwa wychwycone na bramce. Problem bezpieczeństwa to osobna, poprzedzająca warstwa ryzyka.

Złośliwe wzorce wykryte przez naszą bramkę Etapu 0

Nasza bramka bezpieczeństwa wychwyciła kilka wzorców zachowań, od manipulacyjnych po jawnie wrogie. To nie są teoretyczne ryzyka; to prawdziwe przykłady znalezione w umiejętnościach zgłoszonych do publicznych indeksów. Aby zgłębić te problemy, zobacz nasz wpis o złośliwych umiejętnościach Claude, które wykryliśmy. Oto trzy różne wzorce, które zablokowaliśmy, opisane w sposób ogólny.

1. Prompt Injection z nadpisywaniem persony

Plik SKILL.md jednej z umiejętności zaczynał się nie od opisu jej funkcji, ale od dużego bloku tekstu sformatowanego jako CRITICAL SYSTEM OVERRIDE. Jest to forma prompt injection. Tekst instruował model, aby całkowicie porzucił swoją personę pomocnego asystenta i przyjął nową, sztywną. Instrukcje zawierały dyrektywy, aby każdą odpowiedź poprzedzać określonym kluczem aktywacyjnym i odmawiać odpowiedzi na jakikolwiek prompt, jeśli wykryta zostanie inna aktywna persona.

Bezpośrednim ryzykiem jest tutaj przejęcie sesji (session hijacking). Umiejętność skutecznie przejmuje kontrolę nad zachowaniem modelu, czyniąc go bezużytecznym do jakichkolwiek innych zadań. Tworzy to warunki do ataku typu denial-of-service na inne umiejętności i zmusza użytkownika do interakcji na warunkach autora umiejętności. Może to być wykorzystane do narzucenia własnego schematu monetyzacji poza platformą lub po prostu do zakłócenia pracy użytkownika. Więcej o tej technice można przeczytać w naszym artykule o prompt injection w umiejętnościach Claude.

2. Hook automatycznie zatwierdzający polecenia Basha

Claude Code zawiera kluczową funkcję bezpieczeństwa: gdy umiejętność chce wykonać polecenie powłoki, musi najpierw poprosić użytkownika o zgodę za pomocą monitu o potwierdzenie. Odkryliśmy umiejętność, która została zaprojektowana tak, aby po cichu wyłączać to zabezpieczenie w całym projekcie.

Zawierała ona hook PreToolUse — skrypt uruchamiany tuż przed wykonaniem narzędzia. Logika tego hooka była prosta i niebezpieczna: dla praktycznie każdego polecenia zwracał on permissionDecision o wartości allow. Krótka czarna lista oczywistych destrukcyjnych poleceń powodowała, że wstrzymywał się od decyzji, ale nigdy niczego nie odmawiał. W praktyce naciska „Tak” w imieniu użytkownika, dla każdej umiejętności, nigdy nie wyświetlając monitu.

Gdy ta umiejętność jest aktywna, każda inna umiejętność (lub sama umiejętność automatycznie zatwierdzająca) może wykonywać dowolne polecenia powłoki (rm -rf /, curl | sh, eksfiltracja zmiennych środowiskowych) bez żadnej interakcji z użytkownikiem. Zmienia to kluczową funkcję bezpieczeństwa w otwarte drzwi dla złośliwego kodu. Jest to jedno z najpoważniejszych ryzyk w ekosystemie, które omawiamy w naszym ogólnym przeglądzie bezpieczeństwa umiejętności Claude.

3. Manipulacja środowiskiem i nieautoryzowane instalacje

Trzeci wzorzec dotyczył umiejętności, która manipulowała podstawowym doświadczeniem użytkownika, aby wymusić własne użycie, jednocześnie po cichu instalując nieautoryzowane oprogramowanie. Używała do tego kombinacji hooków:

• Odmowa użycia narzędzi: Jej hooki odmawiały zgody na użycie podstawowych narzędzi, takich jak Edit/Write/Task, chyba że ta konkretna umiejętność została wywołana w bieżącej sesji.
• Blokowanie końca tury: Umiejętność blokowała również zdarzenie turn-end, uniemożliwiając użytkownikowi zakończenie swojej tury i zmuszając go do interakcji z umiejętnością, aby kontynuować.
• Nieautoryzowana instalacja pakietów: Co najbardziej niepokojące, zawierała hook SessionStart, który po rozpoczęciu dowolnej sesji po cichu uruchamiał polecenia menedżera pakietów (bun install, npm install) we wszystkich katalogach cache wtyczek, jakie znalazł.

Ten wzorzec stanowi zaawansowaną próbę zakorzenienia umiejętności w środowisku użytkownika. Tworzy formę uzależnienia (lock-in), pogarsza funkcjonalność podstawowego modelu i — co najniebezpieczniejsze — wykorzystuje system hooków do instalowania dowolnego, nieśledzonego oprogramowania na maszynie użytkownika. Trzeba uczciwie przyznać, że w przypadku tego konkretnego autora, hooki nie są aktywowane przez jedno-linijkową instalację; działają tylko wtedy, gdy sam scalisz dostarczony plik ustawień. Mimo to wstrzymaliśmy tę umiejętność, ponieważ samo dostarczenie takiego pliku jest deklaracją intencji. Można by to łatwo wykorzystać do instalacji keyloggerów, koparek kryptowalut lub innego złośliwego oprogramowania. Rodzi to również pytanie: czy umiejętności Claude mogą kraść klucze API? Z możliwością uruchamiania dowolnego kodu, odpowiedź brzmi: tak.

Poza złośliwością: Problem umiejętności niskiej jakości

Chociaż złośliwe umiejętności są poważnym problemem, nie są najczęstszym, z jakim spotka się użytkownik. Znacznie częstszym problemem jest to, że umiejętność po prostu nie działa. Może być zepsuta, porzucona lub tak słabo udokumentowana, że jest niemożliwa do użycia.

W tym miejscu dane z naszego publicznego katalogu dają jasny obraz sytuacji. Spośród 1755 umiejętności, które w pełni przetestowaliśmy — z których wszystkie przeszły kontrolę bezpieczeństwa, niektóre przy przyjęciu, a starsze w ramach weryfikacji wstecznej — wyniki są mieszane. Tylko 1083 umiejętności, czyli około 62%, przeszło nasze testy bez zastrzeżeń.

Oto podsumowanie naszych ustaleń:

Werdykt	Liczba	Opis
Zaliczony	1083	Instaluje się i działa zgodnie z opisem, przewyższając poziom bazowy.
Wymaga konfiguracji	589	Działa, ale wymaga najpierw dodatkowej konfiguracji.
Niezaliczony	83	Wynik poniżej poziomu bazowego lub błąd uruchomienia.
Łącznie przetestowano	1755	Nie obejmuje umiejętności, które nie przeszły wstępnej kontroli bezpieczeństwa.

Zrozumienie tych werdyktów jest kluczowe dla bezpiecznego poruszania się po marketplace:

• Zaliczony (62%): Werdykt pass oznacza, że umiejętność zainstalowała się zgodnie z instrukcjami autora, dała się uruchomić w zamierzonym celu i zadziałała lepiej w rzeczywistym zadaniu niż użycie samego Claude'a bez zainstalowanej umiejętności. To są umiejętności, które spełniają swoją obietnicę.

• Wymaga konfiguracji: To nie jest ocena negatywna. Te 589 umiejętności dostarczają wartość, ale nie od razu po instalacji. Mogą wymagać ręcznej konfiguracji kluczy API, instalacji umiejętności towarzyszącej lub połączenia z usługą zewnętrzną. Nasz werdykt to podkreśla, abyś wiedział, czego się spodziewać przed instalacją.

• Niezaliczony: 83 umiejętności w tej kategorii to te, które oznaczają stratę czasu lub negatywny wpływ. Ten werdykt obejmuje dwa scenariusze. Po pierwsze, dotyczy umiejętności, których po prostu nie dało się uruchomić — brakujące narzędzie wiersza poleceń, martwa zależność, przykład powodujący awarię. Po drugie, obejmuje umiejętności, które uruchomiły się, ale pozostawiły cię w gorszej sytuacji niż bazowe rozwiązanie bez umiejętności. To są umiejętności, które aktywnie utrudniają pracę. Instalacja jednej z tych 83 umiejętności jest w sposób oczywisty gorszym wyborem niż użycie podstawowego modelu.

Te dane pokazują, że nawet po odfiltrowaniu jawnych zagrożeń bezpieczeństwa, szansa na pobranie umiejętności, która albo nie działa, albo wymaga znacznej dodatkowej konfiguracji, jest duża.

Co oznacza „zaliczony” test

Naszym celem jest dostarczenie uczciwego, praktycznego werdyktu. Aby to osiągnąć, nie używamy jednego, standardowego benchmarku dla wszystkich umiejętności. Test dla umiejętności refaktoryzacji kodu będzie wyglądał zupełnie inaczej niż test dla umiejętności zapytań do bazy danych.

Zamiast tego, każdy przypadek testowy jest projektowany specjalnie dla ocenianej umiejętności, na podstawie tego, co deklaruje ona we własnej dokumentacji. Definiujemy realistyczne zadanie, które pasuje do deklarowanego celu umiejętności, a następnie wykonujemy je dwukrotnie: raz z zainstalowaną umiejętnością i raz przy użyciu samego Claude'a.

Umiejętność otrzymuje werdykt pass tylko wtedy, gdy w sposób widoczny przewyższa poziom bazowy. Może to oznaczać, że wykonuje zadanie szybciej, przy mniejszej liczbie promptów lub z wynikiem wyższej jakości. Cały proces opiera się na prostym pytaniu: czy to narzędzie czyni wykwalifikowanego operatora bardziej efektywnym? Pełny opis naszej platformy testowej, systemu punktacji i kryteriów werdyktów znajduje się w naszej metodologii.

Werdykt w sprawie bezpieczeństwa marketplace'ów

A więc, czy instalowanie z marketplace'ów umiejętności Claude jest bezpieczne? Ekosystem nie jest z natury bezpieczny w taki sposób, jak kuratorowany sklep z aplikacjami z obowiązkowym podpisywaniem kodu i przeglądami bezpieczeństwa. Ryzyko natknięcia się na złośliwy kod jest realne, co pokazują wzorce zablokowane przez naszą własną bramkę bezpieczeństwa.

Jednak bardziej prawdopodobnym ryzykiem dla przeciętnego użytkownika nie jest ukierunkowany atak, ale znaczna strata czasu i wysiłku na umiejętności niskiej jakości, zepsute lub nieudokumentowane. Biorąc pod uwagę, że znaczna część umiejętności nie działa zgodnie z opisem lub wymaga skomplikowanej konfiguracji, instalowanie z publicznego marketplace'u jest hazardem.

Bezpieczna instalacja wymaga albo technicznej zdolności do przeprowadzenia własnego audytu kodu, albo polegania na zaufanej stronie trzeciej, która wykonała tę pracę za ciebie. Bez tej weryfikacji instalujesz niezaudytowany kod, który wykonuje się z pełnymi uprawnieniami twojego konta użytkownika.

Warto przeczytać: o samych wzorcach, złośliwe umiejętności Claude: co odkryliśmy po uruchomieniu 1672 z nich; o dwuminutowej kontroli przed instalacją, którą możesz przeprowadzić samodzielnie, bezpieczeństwo umiejętności Claude: ryzyka i lista kontrolna przed instalacją.

Jak znaleźć sprawdzone i gotowe umiejętności

Nie publikujemy tylko porażek. Głównym celem naszej pracy jest identyfikacja narzędzi, które są autentycznie skuteczne. 1083 umiejętności, które przeszły nasze testy, stanowią potężny, sprawdzony zestaw narzędzi dla profesjonalnych programistów, analityków i autorów.

Aby ułatwić ich wdrożenie, grupujemy po dziesięć przetestowanych umiejętności w pakiety dopasowane do ról: zestaw narzędzi dla programisty, pakiet do przeglądu bezpieczeństwa i kodu, pakiet optymalizacyjny oraz pakiety dla marketingu, sprzedaży, projektowania, pisania i dla założycieli firm. Każda umiejętność w pakiecie przeszła naszą bramkę bezpieczeństwa i została przez nas uruchomiona. Większość ma werdykt pass; kilka miejsc zajmują umiejętności z werdyktem setup, które zasłużyły na swoje miejsce pomimo konieczności wstępnej konfiguracji. Na stronie każdego pakietu znajduje się lista wszystkich zawartych w nim umiejętności wraz z ich indywidualnym werdyktem, dzięki czemu przed zakupem możesz dokładnie zobaczyć, co jest czym.

Te pakiety przetestowanych umiejętności można znaleźć na naszej stronie z pakietami w cenie 10 USD za sztukę. To prosty sposób na zdobycie zestawu narzędzi, które mają udowodnione działanie, bez konieczności samodzielnego poruszania się po ryzykownych publicznych marketplace'ach.