$ loading_
静态扫描 MCP 服务器、技能与插件中的安全风险并识别攻击模式。
该工具材料较少，但已知其为官方 Registry 中的开源静态安全扫描器，无需密钥且未声明远程端点，整体未见明显高风险红旗。主要注意点在于其作为 MCP 工具具备本机执行能力，且为完成扫描通常需要访问本地待审计内容。
材料明确标注无需密钥或环境变量，未见要求提供 API token、账号凭证或其他敏感认证信息的迹象，因此凭证泄露与滥用面较低。
已声明无远程端点，提供材料中也未描述向外部服务上传代码、提示词或审计数据；基于现有事实，未见明确的数据外发路径。
系统客观检查项已标记 executes-code，说明该 MCP 工具具备本机执行代码/起进程能力；这属于此类工具的常规能力，应按需在受限环境中运行，但材料未显示超出其静态扫描用途的异常系统权限申请。
作为“静态安全扫描器”，其完成功能通常需要读取本地待审计的 MCP server、skill 或 plugin 文件/源码；现有材料未显示需要无关目录、系统敏感区域或广泛写权限，但仍应按最小授权提供扫描范围。
正面证据包括官方 Registry 来源、开源仓库可审计、近一年内有更新，这些均显著降低供应链风险；但 README 缺失、许可证未声明且社区采用度很低（0 star），使可验证性与成熟度略受影响，因此更适合评为需留意而非高风险。
复制安装指令，让 AI 自动完成配置 · 推荐新手
请帮我安装 askskill 上的 "io.github.eltociear/skill-audit-mcp" MCP 服务： 执行：claude mcp add --transport http 'io-github-eltociear-skill-audit-mcp' 'https://eltociear-skill-audit.hf.space/mcp'
为 MCP 服务、AI 技能与 npm 包提供安装前信任评分与安全准入判断。
扫描远程 MCP 服务器的协议、安全与 TLS 问题，辅助快速排查风险。
扫描并清点本机已配置的 MCP 服务器，并为其生成风险评级报告。
用本地大模型审计 MCP 服务器漏洞并识别语义等价攻击
离线扫描技能、MCP配置与代理内容中的注入及供应链风险。
扫描 MCP 服务器的常见安全风险并给出 A-F 安全评级。