AI 桌面办公大行其道，
它正从人们小心翼翼地“尝鲜”，演变成了越多越多人的“默认配置”。
于是，Skill 成了 AI 桌面办公的“最后一公里”，也成了新的风险入口。
Skill 既是能力杠杆，也是权限杠杆。
“默认配置”往往意味着“默认信任”，而默认信任最危险。
2026年1月发表在 arXiv 的大规模实证研究，分析了 31,132 个 Skill，发现 26.1%至少存在一项安全漏洞，其中包括数据泄露、权限提升、提示词注入和供应链风险。
这些研究值得重视，因为 AI Agent 的风险与传统软件有一个重要区别：
它不仅执行代码，还会执行自然语言指令。
我的观点是：不要随便乱装网络上的 Skill，原因有五个：
1、恶意指令：Skill 可能在暗中操纵 AI
Skill 通常包含一个 `SKILL.md` 文件，
Skill 里往往包含提示词、模板、脚本，里面写着 AI 应当如何执行任务。
问题在于，这些指令并不一定都是善意的。
恶意作者可以埋入隐藏指令，让模型在你不察觉时泄露上下文、执行额外操作，或把敏感信息带到外部。
这类攻击不像传统病毒那么显眼，很难靠“看着没问题”来判断。
2、数据泄露：你的隐私和账号凭证可能被偷走
有些 Skill 需要读取本地文件、环境变量、API Key、浏览器数据或者其他应用的信息。
如果它具有不必要的网络访问权限，就可能把这些信息发送到第三方服务器。
最危险的情况是：你安装了一个看起来完全正常的 Skill，却不知道它正在把什么数据发送到哪里。
随便装的 Skill 还可能涉及版权素材、违规抓取、隐私数据外传。
出了问题，责任在你这边：账号被封、数据泄露、公司合规追责，作者往往找不到也担不了。
尤其在工作环境里，未经审核的 Skill 是实打实的合规风险。
3、代码执行：一个 Skill 可能不只是文字说明
很多人认为 Skill 就是一个 Markdown 文件。
实际上，一个完整的 Skill 可以包含许多东西。
很多 Skill 需要读取文件、访问浏览器、调用 API、连接账号。
如果 Skill 中包含脚本，它可能执行文件操作、运行命令、下载程序，甚至修改系统配置。
来源不明的 Skill 一旦拿到这些权限，可能窃取数据、篡改内容，甚至以你的身份对外操作。
提示词注入和隐藏指令防不胜防。
你以为是装了个小工具，实际是给了它一把万能钥匙。
2024年11月4日，北京大学教育学院
4、供应链攻击：今天安全，不代表明天安全
网上的 Skill 常常是个人分享、二次打包、来路不明的仓库。
即使你从一个看起来可靠的 GitHub 仓库下载 Skill，也不能保证其所有依赖和后续更新都安全。
尤其是一些自动更新、自动下载外部脚本的 Skill，风险更高。
你今天装的干净版本，下次更新可能夹带私货；
不要只检查安装时的版本，还要关注它后续发生了什么变化。
供应链攻击的特点就是“先取得信任，再动手”。
5、能力幻觉：装得越多，不代表 AI 越强
这一点不完全是网络安全问题，却是我认为使用者最容易犯的错误。
现在网上有大量 Skill，名称很吸引人。
但是，我们应该知道，一个 Skill 并不因为名字专业，就真的具有相应的专业能力。
它可能只是把一段普通 Prompt 包装成一个 Skill；可能重复调用已有工具；也可能使用过时的方法，甚至产生错误结果。
再说了，我们安装太多 Skill，还会给我们带来指令冲突、功能重复、上下文占用增加、触发条件混乱、排错困难、没必要地浪费资源等等问题。
所以，Skill 的价值不在于数量，而在于它是否真正改善了任务结果。
归纳起来，Skill 是带权限、带指令、能替你行动的外挂，不是普通插件。
安装一个 Skill，不只是给 AI 加一项能力，也是在给它加一组指令、一个工作流程，有时甚至是工具权限和外部访问能力。
AI 桌面办公快速普及，Skill 随之成为标配，Skill 治理则成为关键。
治理的核心并非“禁止装”，而是“可信装”：来源审核、权限最小化、沙箱隔离、操作审计、可回滚，都应成为默认项。
装之前看来源、审权限、读内容、隔离试用，能不用来路不明的就不用。
Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale，https://arxiv.org/abs/2601.10338
2019年11月4日， 华南师范大学讲学厅