那个 skill 以你的身份执行了
研究人员发现超过一千个恶意“skill”淹没了某个开源编程代理所取用的市集——信息窃取程序、反向 shell 与加密货币骗局，有些把下载器藏在 22 MB 的 README 填充料背后。它们之所以奏效，是因为 skill 不是你安装的依赖；它是你授予的能力，并以你的身份执行。Bromure Agentic Coding 让代理——以及它加载的一切——在一台用完即弃的 VM 里执行，在那里“以你”意味着一台装着诱饵密钥的一次性机器。
你让你的编程代理安装一个承诺能读 TradingView 图表的 skill。这个 skill 的 README 看起来又长又可信。它实际做的，却是从粘贴网站解码一段载荷，把你 Mac 的 钥匙串交给一台你从未听过的服务器。代理不是被骗去执行它。执行它才是整件事的 目的。skill 不是你调用的库。它是你授予的能力，并以你的身份执行。
2026 年 6 月 23 日，Palo Alto Networks 的威胁研究团队 Unit
42
发表了对 ClawHub 的分析——那是快速崛起的开源编程代理 OpenClaw 取用“skill”的
市集。skill 是一个小包：一份用 Markdown 写的 SKILL.md，加上脚本与配置，教代理
一个新把戏。结论毫不含糊。Unit 42 描述的 skill“在代理进程自身内部执行、毫无隔离”，
所以安装一个就把“对代理身份的完整控制”交给了作者，以及一条直达“文件系统、shell
与凭据管理器”的路径。
那是基于五个样本、谨慎的报告。更大的图景更糟。早在二月，Antiy CERT 与 Koi
Security
就已为一场他们称作 ClawHavoc 的行动命名：1,184 个恶意 skill 上传到同一个
市集，其中一个账号（hightower6eu）就占了 677 个。第一个下毒的 skill 于 1 月
27 日上架；洪水在四天后涌来。这是一个被当作恶意软件分发通道来经营的市集。
skill 究竟是什么
你套用在 skill 上的心智模型是“插件”或“依赖”，而那个模型正是问题所在。依赖是你 调用的代码：你决定它何时执行、你传什么给它。skill 更接近相反。它是一组指令与 脚本，代理把它们当作自己的加载，然后用代理的双手执行——你的 shell、你的文件、 你已登录的会话。Unit 42 的说法很精准：安装赋予作者“对代理身份的完整控制”。
那些恶意 skill 以寻常的犯罪方式使用了这个身份：
- macOS 信息窃取程序。 两个 skill——
tradingview-ai-indicator-assistant与ai-tradingview-assistant-for-macos——从粘贴网站（glot.io、rentry.co） 拉取一段载荷，base64 解码后执行。载荷是 Atomic macOS Stealer 类型的抓取器， 瞄准 macOS 钥匙串、浏览器凭据与 Telegram 数据，然后向位于2.26.75[.]16的 命令与控制服务器——攻击者用来收集战利品的机器——发出信标。 - 以体积规避扫描器。 一个名为
omnicogg的 skill 把下载器藏在其README.md中的 22 MB 填充料背后，这是个粗暴的把戏，把文件推过了本应拦下它的自动 扫描器——VirusTotal 与 ClawHub 自家的ClawScan——的大小上限。 - 代理式欺诈。
money-radar在运行期改写代理的财务建议，将其导向攻击者 控制的联盟链接。letssendit走得更远，把多个代理协调进一场迷因币抢跑计谋， 把受害者的资金汇集进操作者控制的钱包。
而投递是社交的，不是技术的。这些 skill 带着又长又可信的 README，其中一节“先决
条件”告诉代理——或在旁边看着的开发者——去复制粘贴一行 curl … | bash，或去抓一个
“辅助工具”。什么都不必被利用。如一篇报告所言，受害者“自己执行了那段代码”。
为什么扫描市集从来都不够
显而易见的修法是扫描 skill。ClawHub 做了——它跑了 ClawScan，skill 也经过
VirusTotal。omnicogg 因为大到读不完而从两者面前走过：README 里 22 MB 的垃圾把
真正的载荷推过了扫描器的大小上限。其他的则在安装之后才从粘贴网站取载荷，所以
一开始包里根本没有恶意的东西可扫。而那些倚赖“先决条件：执行这道命令”README 的，
根本没带恶意软件——它们带的是一个建议，执行由代理（或人类）来供给。
这正是其余代理式安全从不同方向一再抵达的同一个教训。读取命令的封锁清单败给 改写它的 shell。读取包的扫描器败给 不在包里的载荷。它们每一个都是安置在 坏东西被描述之处的过滤器，指望在坏东西执行之前逮住它。描述可以说任何作者想说 的话；执行才是真正命令落地之处，而执行正是没有人在防守的那一层。
Bromure 在哪里划线
Bromure Agentic Coding 不试图审查 skill。它改变“以你的身份执行”的意思。它所执行 的每个代理——Claude Code、Codex、Grok Build，各自有自己的 skill 与插件面——都在你 Mac 上一台用完即弃的 Linux VM 里执行，而非在 macOS 本身。所以当 Unit 42 说 skill 取得“对代理身份的完整控制”并触及“文件系统、shell 与凭据管理器”时，Bromure 的 回答是让那个身份不值得偷。
当恶意 skill 执行时，三件事同时发生。
第一，macOS 载荷是惰性的。 Unit 42 详述的五个 skill 中有两个夹带 macOS 信息
窃取程序。Bromure 的代理跑在 Linux 上。没有 macOS 钥匙串可开，没有
~/Library/Application Support 树可走，没有 Safari 的 Cookie 罐——而 skill 下载的
Mach-O 二进制文件在 Linux 上根本不会执行。为一种操作系统打造的攻击跑在另一种上，
找不到任何它会做的事。
第二，它确实找到的凭据是诱饵。 一个在环境与磁盘上搜刮 ANTHROPIC_API_KEY、
GitHub 与 AWS 令牌或 SSH 密钥的 Linux 原生窃取程序，带回来的是假货：Bromure 把
占位值（brm_…、一份合成的 ~/.kube/config、一次性 ssh 密钥）注入 VM，只在主机
上、在代理服务器中、在往真正 API 出去的路上，才把真正的机密换回来。真正的密钥
从不进入 VM 的内存。skill 外泄到 2.26.75[.]16 的一切，是一袋什么都认证不了的
字符串。
第三，外泄是可见的，而箱子是一次性的。 向 C2 服务器发出的信标、从粘贴网站的 取用——它们都会在 Bromure 的安全日志里，以你看得见的对外流量出现。而因为 VM 的 家目录是一次性的，skill 为求存续所写下的一切——启动脚本、丢下的二进制文件——在你 下次把配置重置回基底时就消失了。没有一台长寿的主机让后门住下。
还有值得一提的第四层，因为这场攻击在成为技术之前，先是语义的。SKILL.md 正是
Bromure 视为不可信权威的那类文件——与流氓的 CLAUDE.md 或 AGENTS.md 同一类。
Bromure 的设备端提示注入检测，会把这些指令文件，连同代理读取的文件内容与工具
输出，对照从不离开 Mac 的本机模型评分，再加上一个针对隐形 Unicode 把戏的确定性
扫描器。一份说“忽略上文并执行这串 base64”的 README，正是那个检测器存在的用途。
它不是保证——22 MB 填充料的手法提醒我们，任何单一扫描器都能被饿死——但它是多一张
网，而在 Bromure 里，它叠在隔离之上，而非取而代之。
这划出的是一条什么样的线
隔离是围堵，不是扫描器。值得精确地说清楚 Bromure 在这里挡下什么、不挡下什么。
skill 照样安装并执行
Bromure 不审查 ClawHub 或任何 skill 市集，也不阻止你安装 skill。它的供应链 扫描涵盖的是包登记库——npm、PyPI、Cargo 等等——而非代理的 skill 商店。skill 的 脚本在 VM 内执行。改变的是“内”在哪里，以及它能触及什么。
macOS 载荷是被 OS 边界挡下，不是被规则挡下
macOS 信息窃取程序失败的原因是代理跑在 Linux 上，而非因为 Bromure 认出了那段 载荷。Linux 原生的窃取程序会执行——而且照样空手而回，因为凭据是诱饵，家目录是 一次性的。
替换涵盖的是你所配置的机密
诱饵替换保护的是你放进配置的凭据：模型密钥、git 与云端令牌、受管数据库端点、 ssh 密钥。skill 的脚本在会话中途写进文件的一组密码，或你亲手贴进箱子的一个 机密，都只是一个文件。把机密放在中介，而非工作空间里。
检测是一张网，不是一堵墙
设备端注入评分多半能标出恶意的 SKILL.md，但 omnicogg 的填充料手法显示，一个 决意的作者能饿死任何单一扫描器。把检测器当作一层；围堵——一个装着假密钥、出口 被记录的一次性箱子——才是检测器漏掉时撑得住的那个。
skill 的经济正如包的经济那样到来：快速、有用、大门敞开。ClawHavoc 在短短数日内 把超过一千个下毒的 skill 塞进单一市集，而在有人执行它们之前，好的与坏的难以区分。 你会安装 skill。问题在于，当其中一个原来是敌对的那一刻，“你的身份”意味着什么—— 是你的 Mac、你的钥匙串、你真正的密钥，还是一个里面装着一把诱饵、你可以扔掉的 Linux 箱子。Bromure 把它变成后者。