SkillSpector ist der kostenlose Scanner, mit dem NVIDIA selbst jeden Skill für den eigenen Katalog prüft. Er gibt jedem Skill einen Risiko-Score von 0 bis 100 und sagt dir, ob du ihn installieren kannst.
Kostenlos·Open Source (Apache-2.0)·20.000+ Sterne auf GitHub·Über 70 Prüfmuster
Am Laptop geht’s am schnellsten. Alles läuft im Terminal deines Computers. Schick dir den Link einfach rüber.
Du bist im Instagram-Browser. Tipp oben rechts auf ⋯ und dann auf Im Browser öffnen, dann klappt alles.
1
SkillSpector installieren
Öffne das Terminal und füg den Befehl ein. Er installiert den Scanner gleich mit dem Anschluss für Claude.
Steht dort command not found: uv, fehlt dir ein kleiner Helfer, der Python gleich mitbringt. Installier ihn mit dieser Zeile, öffne ein neues Terminal-Fenster und füg den Befehl noch mal ein.
curl -LsSf https://astral.sh/uv/install.sh | sh
Steht dort Git executable not found, installier Git mit xcode-select --install. Findet das Terminal später skillspector nicht, tipp uv tool update-shell ein und öffne ein neues Fenster.
2
Skills scannen
Richte SkillSpector auf einen Skill, bevor du ihn installierst. Für [Skill] setzt du den GitHub-Link ein oder ziehst den Skill-Ordner oder die ZIP ins Terminal-Fenster.
Der zweite Befehl prüft alle Skills, die du in Claude Code schon hast, auf einmal. Pro Skill bekommst du einen Score von 0 bis 100 und eine klare Empfehlung: SAFE, CAUTION oder DO NOT INSTALL.
Was heißt --no-llm?
Das ist der schnelle Check ohne zusätzliche KI, der Inhalt deines Skills bleibt auf deinem Rechner. Für die gründliche Prüfung liest Claude mit, über deinen Claude-Code-Login und ohne API-Key: Gib vorher diese Zeile ein und lass --no-llm weg.
export SKILLSPECTOR_PROVIDER=claude_cli
Skills wurden übersprungen?
Dann liegen sie nur als Verknüpfung in dem Ordner, zum Beispiel nach npx skills add. Mit ls -l ~/.claude/skills siehst du, wohin sie zeigen. Diesen Ordner scannst du mit demselben Befehl.
3
Claude selbst scannen lassen
Der erste Befehl steckt SkillSpector als MCP an Claude Code. Der zweite schreibt Claude die Regel in die CLAUDE.md: erst scannen, dann installieren.
claude mcp add --scope user skillspector -- skillspector mcp
printf '\nVor jeder Installation von Skills, Plugins oder MCP-Servern prüfst du sie erst mit scan_skill von skillspector (use_llm: false). Bei DO_NOT_INSTALL installierst du nicht, bei CAUTION fragst du mich.\n' >> ~/.claude/CLAUDE.md
Starte Claude Code danach neu und probier es mit diesem Satz aus:
Prüf diesen Skill mit SkillSpector, bevor du ihn installierst: [Link zum Skill]
Ist SkillSpector verbunden?
Gib im Terminal claude mcp list ein. Neben skillspector muss Connected stehen. Steht dort Failed to connect, öffne ein neues Terminal-Fenster und starte Claude Code von dort.
Was der Scanner erwischt
Geklaute SchlüsselSkills, die deine Umgebungsvariablen mit API-Keys und Passwörtern einsammeln.
Heimliche Hintergrund-JobsSkills, die Skripte aus dem Internet nachladen oder per Cron-Job weiterlaufen, wenn das Terminal zu ist.
