Claude-Skills vor der Installation prüfen mit SkillSpector: Skill-Abo #11

• SkillSpector von NVIDIA prüft Claude-Skills, bevor du sie installierst: 71 Risikomuster in 17 Kategorien, von Prompt Injection bis zur Hintertür im Installationsskript.
• Mein Probescan mit drei Skills aus früheren Ausgaben: dreimal 100 von 100 Punkten, dreimal DO NOT INSTALL. Und trotzdem nutze ich alle drei. Die Zahl ist ein Hinweis, kein Urteil.
• Open Source unter Apache 2.0, kostenlos, statisch ohne Sprachmodell nutzbar. Dann bleiben die Dateien auf deinem Rechner.

Neun Ausgaben lang habe ich dir Skills empfohlen. Jeder davon bekommt auf deinem Rechner Zugriff auf Dateien, oft auf das Terminal, manchmal aufs Netz. Du installierst ihn mit einem Befehl, und ab dann vertraut Claude ihm.

Laut einer Studie aus diesem Jahr hat jeder vierte Skill aus den großen Marktplätzen mindestens eine Schwachstelle.

Deshalb geht es in dieser Ausgabe nicht um einen Skill, der etwas für dich erledigt, sondern um einen, der die anderen prüft: SkillSpector von NVIDIA.

Wie sicher sind Claude-Skills aus dem Netz?

Ein Skill ist im Kern ein Ordner mit einer Anleitung (SKILL.md) und oft ein paar Skripten. Claude liest die Anleitung und folgt ihr. Genau das macht Skills so praktisch und so heikel: Was in der Anleitung steht, wird ausgeführt, ohne dass du jede Zeile siehst. Wie schlank ein guter Skill sein kann, zeigt der Caveman-Skill.

Die Studie „Agent Skills in the Wild” (Liu und andere, 2026), auf der SkillSpector aufbaut, nennt drei Zahlen, die ich mir gemerkt habe:

• 26,1 Prozent der 31.132 ausgewerteten Skills hatten mindestens eine Schwachstelle.
• 5,2 Prozent zeigten wahrscheinlich böse Absicht.
• Skills mit ausführbaren Skripten waren 2,12-mal so oft betroffen.

Das heißt nicht, dass du keine Skills mehr installieren sollst. Es heißt: Schau vorher hin.

Was prüft SkillSpector an einem Skill?

SkillSpector arbeitet in zwei Stufen.

Stufe 1, statische Prüfung: Der Scanner durchsucht alle Dateien nach Mustern, prüft Python-Code auf gefährliche Aufrufe wie exec, eval oder subprocess, sucht mit YARA-Signaturen nach bekannter Schadsoftware und gleicht die Abhängigkeiten mit der Schwachstellen-Datenbank OSV.dev ab. Schnell, gründlich, mit Fehlalarmen.

Stufe 2, Prüfung mit Sprachmodell (optional): Ein Modell deiner Wahl bewertet Absicht und Kontext. Bestätigte Befunde bekommen eine Erklärung, unbestätigte eine Markierung. Gestrichen wird kein Befund.

Die 71 Muster verteilen sich auf 17 Kategorien. Die wichtigsten für den Büroalltag:

Prompt Injection: versteckte Anweisungen in Kommentaren, unsichtbarem Text oder hinter vielen Leerzeilen.

Datenabfluss: Umgebungsvariablen einsammeln, Verzeichnisse durchsuchen, Gesprächsinhalt nach außen senden.

Lieferkette: curl | bash, verschleierter Code, Paketnamen mit Tippfehler, unbekannte Paketquellen.

Übergriffige Agenten: Werkzeugzugriff ohne Grenzen, folgenreiche Entscheidungen ohne Rückfrage, Selbstveränderung, Einträge in Autostart oder Cron.

Auslöser: Skills, die auf Allerweltswörter reagieren oder eingebaute Befehle überdecken.

Am Ende steht ein Score von 0 bis 100 mit Empfehlung: bis 20 SAFE, bis 50 CAUTION, darüber DO NOT INSTALL.

Ob ein Skill korrekt geladen wird, prüft die Claude-Doku. Ob er sicher ist, prüft SkillSpector.

SkillSpector installieren und ersten Skill scannen

Du brauchst Python 3.12 oder neuer und das Paketwerkzeug uv. Dann ist es ein Befehl:

uv tool install git+https://github.com/NVIDIA/skillspector.git

Danach prüfst du einen Skill, bevor er in deinem Skill-Ordner landet:

# Lokalen Ordner prüfen, ohne Sprachmodell
skillspector scan ./neuer-skill/ --no-llm

# Direkt von GitHub prüfen
skillspector scan https://github.com/name/skill --no-llm

# Bericht als Markdown für die Ablage
skillspector scan ./neuer-skill/ --no-llm --format markdown --output pruefung.md

Nutzt du Claude Code, läuft die zweite Stufe über deinen Zugang, ohne API-Key:

export SKILLSPECTOR_PROVIDER=claude_cli
skillspector scan ./neuer-skill/

Lieber prüfen lassen, als selbst im Terminal zu arbeiten? Schreib uns über die Kontaktseite. Wir schauen uns deine Skills und deinen Ablauf mit Claude an und sagen dir, was davon bleiben kann.

SkillSpector im Test: drei echte Skills gescannt

Ich wollte wissen, wie streng der Scanner ist, und habe drei Skills aus früheren Ausgaben geprüft, jeweils den aktuellen Stand von GitHub, nur statisch:

Dreimal Höchststufe. Schauen wir in die Befunde:

Prompt Injection Scanner: Die meisten Treffer stecken in Testdateien und in der Musterbibliothek. Ein Werkzeug, das Angriffe erkennen soll, enthält Hunderte Beispielangriffe. Der Scanner sieht die Angriffe, nicht den Zweck.

claude-rank: Ein hoher Befund lautet „Refusal Suppression”, also die Anweisung, niemals abzulehnen. Ausgelöst hat ihn die Zeile „Always respond in German”. Der echte Befund ist ein anderer: Die Installation läuft per curl | bash, also ein Skript aus dem Netz direkt ins Terminal. Das ist verbreitet und bequem, und genau deshalb lohnt der Blick ins Skript, bevor du es startest.

SkillSafe: Der kritische Befund lautet „Credential Exfiltration Chain”, also Zugangsdaten auf dem Weg ins Netz. Der Blick in die Zeile zeigt etwas anderes: Die Umgebungsvariable ist ein Schalter, der den Netzzugriff abschaltet. Der Abruf selbst holt nur Dokumente per HTTPS von einer vorher eingetragenen Adresse, ohne Zugangsdaten, und nur, wenn du ihn mit --extern ausdrücklich anforderst. Kein Problem, aber das sagt dir erst die Zeile, nicht die Zahl.

SkillSpector-Score richtig lesen: Befunde statt Empfehlung

Die Rechnung ist einfach: kritisch zählt 50 Punkte, hoch 25, mittel 10, niedrig 5, mit ausführbaren Skripten mal 1,3. Ein kritischer und ein hoher Befund reichen für DO NOT INSTALL, bei Skills mit Skripten auch zwei hohe (2 × 25 × 1,3 = 65). Bei echten, umfangreichen Skills ist die 100 schnell erreicht.

Das ist Absicht: Die erste Stufe meldet lieber zu viel, so steht es in der Dokumentation. Für dich heißt das: Nicht die Empfehlung lesen, sondern die Befunde. Jeder Befund hat Datei und Zeile. Drei Fragen helfen beim Sortieren:

• Passt das, was der Code tut, zu dem, was der Skill verspricht?
• Verlässt etwas den Rechner, und steht das irgendwo erklärt?
• Wird etwas ausgeführt, das aus dem Netz kommt?

Wenn alle drei Antworten sauber sind, ist auch eine 100 kein Grund zur Panik. Wenn eine davon offen bleibt, ist auch eine 20 kein Freifahrtschein.

SkillSpector in Claude Code als Prüfschritt

Am meisten Zeit sparst du, wenn Claude den Scan selbst startet, bevor er einen Skill installiert. Dafür läuft SkillSpector als MCP-Server:

uv tool install --force 'skillspector[mcp] @ git+https://github.com/NVIDIA/skillspector.git'
claude mcp add skillspector -- skillspector mcp

Ab dann kannst du in Claude Code sagen: „Prüf diesen Skill, bevor wir ihn installieren.” Claude bekommt Score, Befunde und die Angabe, ob die Sprachmodell-Stufe gelaufen ist.

Im Repo liegt außerdem ein Skill namens skill-inspector. Er macht genau das, was ich oben von Hand gemacht habe: erst scannen, dann die markierten Stellen im Code lesen, dann ein Urteil in drei Stufen, APPROVE, CAUTION oder REJECT. Mit der ausdrücklichen Regel, sich nie allein auf die Zahl zu verlassen.

Checkliste: Claude-Skill in drei Stufen prüfen

1. Schnell: skillspector scan --no-llm. Kein Befund als kritisch markiert? Dann weiter.
2. Normal: SKILL.md, Skripte, Abhängigkeiten und jede Stelle, an der Daten das Gerät verlassen, selbst lesen.
3. Gründlich: LLM-Stufe oder skill-inspector, wenn der Skill Skripte mitbringt oder MCP-Rechte will.

Am Ende steht eine Ampel: Grün heißt installieren, Gelb nur in einer Testumgebung, Rot nicht installieren.

Und im Betrieb: Verarbeitet dein Skill fremde Dokumente, prüf sie vorher mit dem Prompt Injection Scanner aus Skill-Abo #1. SkillSpector prüft den Skill, der Scanner die Dokumente, die er liest.

Mein Take: Erst scannen, dann selbst lesen

SkillSpector ersetzt nicht dein Urteil. Er sagt dir, wo du hinschauen sollst. Das ist viel wert, wenn ein Skill aus vierzig Dateien besteht und du keine Zeit hast, jede davon zu lesen.

Mein Ablauf ab jetzt: Jeder neue Skill geht erst durch skillspector scan --no-llm. Hohe und kritische Befunde lese ich selbst nach, und was ich nicht verstehe, frage ich Claude in einem eigenen Chat, der den Skill nicht installiert hat. Das ist dieselbe Trennung wie in Skill-Abo #8: Wer baut, prüft nicht.

Zwei Grenzen solltest du kennen. Erstens prüft der Scanner vor der Installation, nicht danach. Zweitens erkennt er laut eigener Liste Bilder, verschlüsselten Code und nicht englische Texte nur eingeschränkt. Wichtig für dich: Deutsche Anweisungen in einem Skill liest du besser selbst. Für die Dokumente, die dein Agent liest, bleibt der Prompt Injection Scanner aus Skill-Abo #1 das passende Werkzeug. SkillSpector prüft das Werkzeug selbst.

Dass ausgerechnet NVIDIA so einen Scanner offen bereitstellt, passt ins Bild: Laut README prüft und signiert der Konzern damit die Skills für den eigenen Katalog, bevor sie veröffentlicht werden. Wenn die Anbieter selbst so vorgehen, sollten wir es im Büro auch tun.

Der Scanner steht unter Apache 2.0 auf GitHub.

Viele Grüße aus Bochum,

Gerhard Schröder

PS: Wenn du wissen willst, welche deiner installierten Skills du dir genauer anschauen solltest, schreib mir über die Kontaktseite. Ich schaue gern mit drauf.