Säkerhet för Claude-skills: En saklig titt på riskerna

Frågan om det är säkert att installera skills från en Claude skill-marknadsplats är inte teoretisk. På SkillProof spekulerar vi inte; vi installerar och kör dem. Hela vår katalog bygger på erfarenheten av att hämta skills direkt från publika marknadsplatser och GitHub-arkiv, köra dem på verkliga arbetsuppgifter och publicera resultaten, oavsett om de godkänns eller inte. Denna process ger oss en direkt, praktisk inblick i säkerhetslandskapet för Claudes plugin-marknadsplats.

Det korta svaret är att ekosystemet har börjat införa kontroller, men ingen av dem talar om för dig om en skill faktiskt fungerar eller vad den kommer att göra på din maskin. Det finns ingen kodsignering. Den granskning som finns är automatiserad mönster- och skadeprogramsgenomsökning, inte mänsklig granskning, och forskare har visat att den kan kringgås. Ingen uppströms kör en skill på en verklig uppgift före dig. Den sista delen är hela problemet, och det är den del som landar hos användaren.

Den här artikeln beskriver de typer av risker som finns i ekosystemet, från direkt skadlig kod till det vanligare problemet med icke-funktionella eller lågkvalitativa skills. Vi kommer att dela med oss av specifika, anonymiserade mönster som vår säkerhetspipeline har fångat upp och förklara vad våra testutlåtanden faktiskt betyder.

Det öppna men ogranskade ekosystemet

Den främsta lockelsen med Claudes skills-ekosystem är dess öppenhet. Vem som helst kan skriva en skill och, i många fall, publicera den i ett publikt index eller dela den på GitHub. Detta sänker inträdesbarriären och uppmuntrar till innovation. Det skapar dock också en miljö där kvalitet och säkerhet inte garanteras. När folk frågar om ClawHub är säkert, frågar de oftast om indexet går i god för det som listas. Det ärliga svaret är att de större indexen har skärpt sina regler efter egna incidenter: ClawHub kräver nu identitetsverifiering av utgivare, kör VirusTotal och kodmönsterskanning på inskickat material, och sedan juli 2026 hålls nya publiceringar tillbaka för en förpubliceringsskanning. Det är verkligt, och det är värt mer än ingenting. Det är dock inte samma sak som att någon läser koden för en skill. Trail of Bits visade i juni 2026 att denna klass av skanner kan kringgås, och Snyks ToxicSkills-studie hittade fortfarande prompt-injection-nyttolaster i en stor andel av de skills som den undersökte.

Granskningen filtrerar alltså bort kända dåliga signaturer; den avgör inte om en skill är pålitlig eller användbar. Ansvaret för att granska koden – att kontrollera vad en skills hooks kommer att göra, vilka paket den kan installera eller vilken data den kan komma åt – faller på slutanvändaren. För en utvecklare som är bekväm med att läsa shell-skript och Python kan detta vara en hanterbar uppgift. För de flesta användare är det en orimlig förväntan. Man installerar en skill för att spara tid, inte för att påbörja en kodgranskning.

Det är denna lucka som SkillProof skapades för att fylla. Vi utför den granskningen, så att du slipper.

Vår säkerhetskontroll före installation

Vår testpipeline börjar med ett kritiskt steg som sker innan en skill någonsin installeras eller exekveras: säkerhetskontrollen i Steg 0. När vi hämtar en ny skill för testning kör vi inte omedelbart dess installationsskript. Istället utsätter vi först dess källkod och manifestfiler (SKILL.md, hooks, verktygsdefinitioner) för en statisk analysprocess.

Kontrollen läser en skills komponenter för att söka efter kända skadliga eller manipulativa mönster. Den är utformad för att fånga upp uppenbara försök att kompromettera säkerheten eller integriteten i Claude-miljön.

Om en skill misslyckas i denna Steg 0-kontroll hålls den tillbaka för granskning. Den installeras aldrig, körs aldrig och får aldrig ett betyg eller en listning i vår huvudkatalog. Detta är en viktig poäng: katalogstatistiken vi publicerar inkluderar inte dessa förhandsgranskade skadliga skills. De misslyckanden vi dokumenterar är funktionella misslyckanden, inte säkerhetsöverträdelser som fångats vid kontrollen. Säkerhetsproblemet är ett separat, föregående risknivå.

Skadliga mönster fångade av vår Steg 0-kontroll

Vår säkerhetskontroll har fångat upp flera beteendemönster som sträcker sig från manipulativa till öppet fientliga. Detta är inte teoretiska risker; det är verkliga exempel som hittats i skills som skickats in till publika index. För en djupare dykning i dessa frågor, se vårt inlägg om skadliga Claude-skills vi fångat. Här är tre distinkta mönster vi har blockerat, beskrivna generiskt.

1. Prompt-injection för att åsidosätta persona

En skills SKILL.md-fil började inte med en beskrivning av dess funktion, utan med ett stort textblock formaterat som en CRITICAL SYSTEM OVERRIDE. Detta är en form av prompt-injection. Texten instruerade modellen att helt överge sin hjälpsamma assistent-persona och anta en ny, rigid persona. Instruktionerna inkluderade direktiv om att förse varje enskilt svar med en specifik aktiveringsnyckel och att vägra svara på någon prompt om en annan persona upptäcktes vara aktiv.

Den omedelbara risken här är kapning av sessionen. En skill tar i praktiken kontroll över modellens beteende, vilket gör den oanvändbar för alla andra uppgifter. Det skapar ett denial-of-service-tillstånd för andra skills och tvingar användaren att interagera på skill-författarens villkor. Detta skulle kunna användas för att genomdriva en författares egen intäktsmodell utanför plattformen eller helt enkelt för att störa användarens arbetsflöde. Du kan läsa mer om denna teknik i vår artikel om prompt-injection i Claude-skills.

2. Hook för automatiskt godkännande i Bash

Claude Code inkluderar en kritisk säkerhetsfunktion: när en skill vill exekvera ett shell-kommando måste den först be användaren om tillåtelse via en bekräftelseprompt. Vi upptäckte en skill som var utformad för att tyst inaktivera detta skydd i hela projektet.

Den inkluderade en PreToolUse-hook – ett skript som körs precis innan ett verktyg exekveras. Logiken i denna hook var enkel och farlig: för i princip varje kommando returnerade den ett permissionDecision med värdet allow. En kort blockeringslista med uppenbart destruktiva kommandon fick den att avstå, men den nekade aldrig något. I praktiken trycker den "Ja" för användarens räkning, från vilken skill som helst, utan att någonsin visa en prompt.

När denna skill är aktiv kan vilken annan skill som helst (eller den auto-godkännande skillen själv) exekvera godtyckliga shell-kommandon (rm -rf /, curl | sh, exfiltrera miljövariabler) utan någon användarinteraktion. Det förvandlar en central säkerhetsfunktion till en öppen dörr för exekvering av skadlig kod. Detta är en av de mest betydande riskerna i ekosystemet, vilket vi täcker i vår allmänna översikt över säkerhet för Claude-skills.

3. Manipulering av ramverket och obehöriga installationer

Ett tredje mönster involverade en skill som manipulerade den centrala användarupplevelsen för att tvinga fram sin egen användning, samtidigt som den i tysthet installerade obehörig programvara. Den använde en kombination av hooks för att uppnå detta:

• Nekande av verktyg: Dess hooks nekade tillåtelse för grundläggande verktyg som Edit/Write/Task om inte just den specifika skillen hade anropats i den aktuella sessionen.
• Blockering av turavslut: Skillen blockerade också turn-end-händelsen, vilket hindrade användaren från att avsluta sin tur och tvingade dem att interagera med skillen för att fortsätta.
• Obehörig paketinstallation: Mest oroväckande var att den inkluderade en SessionStart-hook som, vid start av vilken session som helst, tyst körde pakethanterarkommandon (bun install, npm install) i varje plugin-cachekatalog den kunde hitta.

Detta mönster representerar ett sofistikerat försök att förankra en skill i användarens miljö. Det skapar en form av inlåsning, försämrar grundmodellens funktionalitet och – farligast av allt – använder hook-systemet för att installera godtycklig, ospårad programvara på användarens maskin. För att vara rättvis mot just denna författare, kopplas inte hookarna in av enradsinstallationen; de träder i kraft endast om du själv slår samman den medföljande inställningsfilen. Vi höll ändå tillbaka skillen, eftersom att överhuvudtaget leverera den filen är en avsiktsförklaring. Detta skulle lätt kunna användas för att installera keyloggers, kryptogrävare eller annan skadlig kod. Det väcker också frågan: kan Claude-skills stjäla API-nycklar? Med förmågan att köra godtycklig kod är svaret ja.

Bortom illvilja: Problemet med lågkvalitativa skills

Även om skadliga skills är ett allvarligt problem, är de inte det vanligaste problemet en användare kommer att stöta på. Det mycket vanligare problemet är helt enkelt att en skill inte fungerar. Den kan vara trasig, övergiven eller så dåligt dokumenterad att den är omöjlig att använda.

Det är här vår publika katalogdata ger en tydlig bild. Av de 1755 skills vi har testat fullt ut – som alla klarade säkerhetsgranskningen, vissa vid intag och de äldre i en retroaktiv genomgång – är resultaten blandade. Endast 1083 skills, eller cirka 62%, klarade våra tester direkt.

Här är en sammanställning av våra resultat:

Betyg	Antal	Beskrivning
Godkänd	1083	Installeras och fungerar som utlovat, presterar bättre än baslinjen.
Konfiguration krävs	589	Fungerar, men kräver extra konfiguration först.
Underkänd	83	Presterar sämre än baslinjen eller misslyckas att köra.
Totalt testade	1755	Exkluderar skills som inte klarade säkerhetskontrollen före installation.

Att förstå dessa betyg är nyckeln till att navigera säkert på marknadsplatsen:

• Godkänd (62%): Ett pass-betyg innebär att skillen installerades enligt författarens instruktioner, kunde aktiveras för sitt avsedda syfte och presterade bättre på en verklig uppgift än att använda Claude utan någon skill installerad. Dessa är de skills som levererar vad de lovar.

• Konfiguration krävs: Detta är inte ett underkänt betyg. Dessa 589 skills ger värde, men inte direkt vid installation. De kan kräva manuell konfiguration av API-nycklar, installation av en kompletterande skill eller anslutning till en tredjepartstjänst. Vårt betyg belyser detta så att du vet vad du kan förvänta dig innan du installerar.

• Underkänd: De 83 skills i denna kategori är de som representerar bortkastad tid eller en negativ påverkan. Detta betyg täcker två scenarier. För det första inkluderar det skills som helt enkelt inte kunde köras – ett saknat kommandoradsverktyg, ett dött beroende, ett exempel som kraschar. För det andra inkluderar det skills som kördes men lämnade dig sämre rustad än baslinjen utan skill. Dessa är skills som aktivt gör ditt arbete svårare. Att installera en av dessa 83 skills är ett bevisligen sämre val än att använda grundmodellen.

Dessa data visar att även efter filtrering för uppenbara säkerhetsrisker är chansen att ladda ner en skill som antingen inte fungerar eller kräver betydande extra konfiguration avsevärd.

Vad det innebär att "klara" ett test

Vårt mål är att ge ett ärligt, praktiskt utlåtande. För att göra det använder vi inte ett enda, standardiserat benchmark för alla skills. Ett test för en skill som refaktorerar kod kommer att se mycket annorlunda ut än ett test för en skill som gör databasfrågor.

Istället är varje testfall utformat specifikt för den skill som utvärderas, baserat på vad den skillen påstår sig göra i sin egen dokumentation. Vi definierar en realistisk uppgift som passar skillens utlovade syfte och kör den sedan två gånger: en gång med skillen installerad och en gång med enbart Claude.

Skillen får endast ett pass-betyg om den bevisligen presterar bättre än baslinjen. Det kan innebära att den utför uppgiften snabbare, med färre prompter eller med ett resultat av högre kvalitet. Hela processen grundar sig i en enkel fråga: gör detta verktyg en kunnig operatör mer effektiv? För en fullständig beskrivning av vårt testramverk, poängsättning och betygskriterier, se vår fullständiga metodik.

Utlåtande om marknadsplatsernas säkerhet

Så, är Claudes skill-marknadsplatser säkra att installera från? Ekosystemet är inte i sig säkert på samma sätt som en kuraterad app-butik med obligatorisk kodsignering och säkerhetsgranskningar. Risken att stöta på skadlig kod är verklig, vilket visas av de mönster som vår egen säkerhetskontroll har blockerat.

Den mer sannolika risken för den genomsnittliga användaren är dock inte en riktad attack, utan ett betydande slöseri med tid och ansträngning på lågkvalitativa, trasiga eller odokumenterade skills. Med en betydande andel skills som inte fungerar som utlovat eller kräver komplex konfiguration, är installation från en publik marknadsplats en chansning.

Säker installation kräver antingen den tekniska förmågan att utföra en egen kodgranskning eller att man förlitar sig på en betrodd tredje part som har gjort arbetet åt en. Utan den granskningen installerar du ogranskad kod som exekveras med fulla behörigheter för ditt användarkonto.

Relaterad läsning: för själva mönstren, skadliga Claude-skills: vad körningen av 1 672 av dem avslöjade; för förinstallationskontrollen du kan köra själv på två minuter, säkerhet för Claude-skills: risker och checklista före installation.

Hitta skills som är granskade och redo

Vi publicerar inte bara misslyckanden. Det primära målet med vårt arbete är att identifiera de verktyg som är genuint effektiva. De 1083 skills som klarade våra tester utgör en kraftfull, granskad verktygslåda för professionella utvecklare, analytiker och skribenter.

För att göra dem lättare att anamma grupperar vi tio testade skills åt gången i rollanpassade paket: ett utvecklarpaket, ett paket för säkerhet och kodgranskning, ett optimeringspaket samt paket för marknadsföring, försäljning, design, skrivande och grundare. Varje skill i ett paket har klarat säkerhetskontrollen och har körts av oss. De flesta har pass-betyg; några platser går till setup-skills som förtjänat sin plats trots att de först kräver konfiguration. Varje paketsida listar varje skill som ingår med dess individuella betyg, så att du kan se exakt vilken som är vilken innan du köper.

Du kan hitta dessa testade skill-paket på vår sida för paket för ett engångspris på $10 styck. Det är ett enkelt sätt att skaffa en uppsättning verktyg som bevisligen fungerar, utan att själv behöva navigera riskerna på de publika marknadsplatserna.