浸润之谮：你装的每一个 AI 技能，都是一段别人的代码

2026-11-10silcano

浸润之谮：你装的每一个 AI 技能，都是一段别人的代码

江楠AI · 2026-11-10 · 约 2026 字

01 ／ 技能不是插件，是“可执行的信任”

很多人对“技能”的心理模型是插件：装上，多个功能，不喜欢就卸。

这个模型错得很危险。

一个技能通常包含三样东西：一段指令（告诉 AI 怎么做事）、一组工具调用（让它能读文件、跑命令、上网）、以及一些默认参数。

也就是说，你装一个技能，等于给了一个陌生人一部分你的执行权限。

它可以让你“整理一下项目文档”，同时顺手把你 `.env` 里的密钥读出来，塞进一个看起来很正常的上传请求。

这不是危言耸听，这是供应链攻击的常规套路。唯一的区别是，以前中招的是 npm 包，现在中招的是你的 AI。

02 ／ 孔子最怕的，是“慢慢渗进来”

《论语·颜渊》里，子张问什么是“明”。孔子说：

“浸润之谮，肤受之诉，不行焉，可谓明也已矣。”

浸润之谮，是像水一样慢慢渗进来的谗言——不是一次说个大谎，是每天说一点，久了你就信了。肤受之诉，是贴着你皮肤来的告状，切身、急促，让你来不及想。

孔子说，这两种东西在你这儿行不通，你才叫“明”。

技能的危害，正是“浸润”型的：

它不会一次要你全部权限。它先要读一个目录，你觉得合理；再要写一个文件，你觉得也行；再要发一个请求，你没细看。三步之后，它已经能碰到不该碰的东西了。

而“肤受”型是另一种：它急着让你跑起来。文档写得特别顺，一条命令装完，示例一跑就出结果。你因为“太顺了”而放弃了检查。

安全的敌人不是聪明，是顺手。凡是让你觉得“这么方便应该没问题”的东西，都该多看一眼。

03 ／ 装之前，看五个地方

不用读完全部源码。五个地方，五分钟能看完，能挡掉九成问题。

一看网络请求。 搜索代码里的 `curl`、`fetch`、`requests`、`http`。它往外发什么？发给谁？一个“整理文档”的技能，不该有外发请求。

二看文件路径。 有没有 `~/.ssh`、`.env`、`.git/config`、`/etc`、浏览器 profile 目录。碰到这些就是红线。

三看执行命令。 有没有 `rm`、`chmod`、`sudo`、`eval`、`base64 -d`（解码后执行是经典藏法）。

四看权限声明。 它要求的是“读”还是“读写执行”？一个只该读的技能要写权限，就是越界。

五看更新源。 是从官方仓库装的，还是某个短链？能不能锁定版本？不能锁定版本的技能，等于允许它随时换内容。

▲ 双松平远图（AI 配图）

04 ／ 给自己定三条规矩

看过一遍还不够，得有制度。我给自己定了三条，执行起来很轻。

① 新技能先进沙箱：第一次跑，放在一个没有密钥、没有生产数据、可以整个删掉的环境里。跑通了、看懂了，再放进主力环境。

② 凭据不落盘：密钥走环境变量或密钥管理，不写进项目文件。这样即使技能读了目录，也读不到真东西。这条比任何扫描器都有效。

③ 技能清单化：维护一份“我装了哪些技能、从哪来、什么时候装的、给了什么权限”的清单。每季度清一次。你不需要记得它干什么，只需要记得它在。

再加一条：装之前，先让它解释自己。 把技能文件丢给你的 AI，问它“这个技能会访问哪些资源？有没有外发请求？”——用 AI 审 AI，比人肉读快得多。

05 ／ 方便是有价格的

我们这行有个长期错觉：工具是免费的，出了问题再说。

但每一个“一键搞定”的背后，都有人替你承担了复杂度。以前是库的作者，现在是那个技能的作者——一个你不认识的人。

孔子说的“明”，不是聪明，是不被慢慢渗进来的东西带走。

AI 让装东西变得太容易了。所以“多看一眼”这件事，反而成了核心竞争力。

毕竟，被偷走的东西，从来不是在你警惕的时候丢的。

你给它的权限，就是它的能力。能力越大，越要问一句“凭什么”。

最后想问问你：

你现在装着的那些技能，有几个你能说清它访问了什么？

江楠AI

向内看，向前走。

文中配图为 AI 生成，仅作意境示意。文中数据与仓库信息截至 2026 年 11 月 10 日。

数据来源：GitHub `NVIDIA/SkillSpector`（约 2.5 万星，AI agent skills 安全扫描器）；同期技能合集 `sickn33/agentic-awesome-skills`（2955+ skills，约 4.9 万星）、`ComposioHQ/awesome-claude-skills`（约 7.9 万星），截至 2026-11-10。经典出处：《论语·颜渊》。