skill-audit 开源发布：本地扫描 AI Agent 技能中的提示词注入与恶意代码

ondrej-merkun 发布 skill-audit，一款完全本地运行的扫描器，用于检测 Claude Code、Codex、Copilot、Cursor、Gemini CLI 等 Agent 的技能、插件、MCP 配置和项目指令文件中的提示词注入与恶意代码，默认扫描不发起任何网络调用。工具内置 50 条确定性规则，覆盖网络外传、文件系统访问、硬编码密钥等类别，并可接入仅限 loopback 地址的本地 OpenAI 兼容模型做二次审查，支持 JSON、HTML、SARIF 报告输出和 GitHub Actions CI 集成。