skills 安全合规检查3 步核查法与避坑提醒【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills你大概也遇到过这种事某个 Agent Skills 装进 Codex 之后跑得好好的直到它把内部数据发到了不该去的地方你才想起来从没做过 skills 安全合规检查。skills4/skills 是一个为 Codex 整理的技能目录每个技能都是按文件夹打包的说明、脚本和资源装一次到处用。把下面这套流程走一遍技能安全就不用靠运气。一、核查清单装技能前先过三道关别把合规检查想成一次性的法务动作它是你装技能前几分钟就能做完的三件事。️ 照着勾勾完再点头。查来源确认技能属于.system、curated还是experimental目录——来源可信后面的风险才可控。查数据流翻一遍技能里的SKILL.md和scripts/看它读什么、往哪发数据出界的环节一个都别放过。查许可打开技能目录内的LICENSE.txt确认许可条款商用场景下这一步直接决定你能不能用。二、安装来源三分类最小权限怎么落地技能装哪来决定了它有多值得信。目录里的技能分三类信任等级从高到低排。.system位于 skills/.system/最新版 Codex 会自动安装imagegen、skill-installer这些基础能力就在这里。curated位于 skills/.curated/经过挑选的技能可以直接按名字装$skill-installer gh-address-commentsexperimental位于 skills/.experimental/还在试验阶段安装时要指定技能文件夹或给出目录 URL适合愿意尝鲜、也做好了翻车准备的你。最小权限原则的落地也很直接只装当前任务真正需要的技能某个技能的说明要求它执行远超自身功能的命令就退回给维护者而不是将就着用experimental 技能用完即卸不留常驻。三、持续复查固定节奏 漏洞反馈渠道装完不是终点技能会随上游更新悄悄变化。建议你固定两个复查节奏每月一次对照skills/.curated/与skills/.system/的变更看技能说明和脚本有没有新增动作。每次升级 Codex 后核对自动安装的.system技能是否被动过。发现漏洞、或者对模型输出有 concerns 时直接发邮件到 securityopenai.com。contributing.md 里也写明了这一点对方会及时回应你。四、避坑提醒别把 experimental 当生产技能用脚本出现外发请求先停下再看装完技能记得重启 Codex今天就挑一个装过的技能把三道关过一遍——合规不是负担是让你敢放手用的底气。【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考