那個 skill 以你的身分執行了
研究人員發現超過一千個惡意「skill」淹沒了某個開源程式代理所取用的市集——資訊竊取程式、反向 shell 與加密貨幣騙局，有些把下載器藏在 22 MB 的 README 填充料背後。它們之所以奏效，是因為 skill 不是你安裝的相依套件；它是你授予的能力，並以你的身分執行。Bromure Agentic Coding 讓代理——以及它載入的一切——在一台用完即丟的 VM 裡執行，在那裡「以你」意味著一台裝著誘餌金鑰的拋棄式機器。
你叫你的程式代理安裝一個承諾能讀 TradingView 圖表的 skill。這個 skill 的 README 看起來又長又可信。它實際做的，卻是從貼文網站解碼一段酬載，把你 Mac 的 鑰匙圈交給一台你從未聽過的伺服器。代理不是被騙去執行它。執行它才是整件事的 目的。skill 不是你呼叫的函式庫。它是你授予的能力，並以你的身分執行。
2026 年 6 月 23 日，Palo Alto Networks 的威脅研究團隊 Unit
42
發表了對 ClawHub 的分析——那是快速崛起的開源程式代理 OpenClaw 取用「skill」的
市集。skill 是一個小套件：一份用 Markdown 寫的 SKILL.md，加上腳本與設定，
教代理一個新把戲。結論毫不含糊。Unit 42 描述的 skill「在代理程序自身內部執行、
毫無隔離」，所以安裝一個就把「對代理身分的完整控制」交給了作者，以及一條直達
「檔案系統、shell 與憑證管理器」的路徑。
那是基於五個樣本、謹慎的報告。更大的圖景更糟。早在二月，Antiy CERT 與 Koi
Security
就已為一場他們稱作 ClawHavoc 的行動命名：1,184 個惡意 skill 上傳到同一個
市集，其中一個帳號（hightower6eu）就佔了 677 個。第一個下毒的 skill 於 1 月
27 日上架；洪水在四天後湧來。這是一個被當作惡意軟體散布通道來經營的市集。
skill 究竟是什麼
你套用在 skill 上的心智模型是「外掛」或「相依套件」，而那個模型正是問題所在。 相依套件是你呼叫的程式碼：你決定它何時執行、你傳什麼給它。skill 更接近相反。 它是一組指令與腳本，代理把它們當作自己的載入，然後用代理的雙手執行——你的 shell、你的檔案、你已登入的工作階段。Unit 42 的說法很精準：安裝賦予作者「對代理 身分的完整控制」。
那些惡意 skill 以尋常的犯罪方式使用了這個身分：
- macOS 資訊竊取程式。 兩個 skill——
tradingview-ai-indicator-assistant與ai-tradingview-assistant-for-macos——從貼文網站（glot.io、rentry.co） 拉取一段酬載，base64 解碼後執行。酬載是 Atomic macOS Stealer 類型的擷取器， 瞄準 macOS 鑰匙圈、瀏覽器憑證與 Telegram 資料，然後向位於2.26.75[.]16的 命令與控制伺服器——攻擊者用來收集戰利品的機器——發出信標。 - 以體積規避掃描器。 一個名為
omnicogg的 skill 把下載器藏在其README.md中的 22 MB 填充料背後，這是個粗暴的把戲，把檔案推過了本應攔下它的自動 掃描器——VirusTotal 與 ClawHub 自家的ClawScan——的大小上限。 - 代理式詐欺。
money-radar在執行期改寫代理的財務建議，將其導向攻擊者 控制的聯盟連結。letssendit走得更遠，把多個代理協調進一場迷因幣搶跑計謀， 把受害者的資金匯集進操作者控制的錢包。
而投遞是社交的，不是技術的。這些 skill 帶著又長又可信的 README，其中一節「先決
條件」告訴代理——或在旁邊看著的開發者——去複製貼上一行 curl … | bash，或去
抓一個「輔助工具」。什麼都不必被利用。如一篇報告所言，受害者「自己執行了那段
程式碼」。
為什麼掃描市集從來都不夠
顯而易見的修法是掃描 skill。ClawHub 做了——它跑了 ClawScan，skill 也經過
VirusTotal。omnicogg 因為大到讀不完而從兩者面前走過：README 裡 22 MB 的垃圾把
真正的酬載推過了掃描器的大小上限。其他的則在安裝之後才從貼文網站取酬載，所以
一開始套件裡根本沒有惡意的東西可掃。而那些倚賴「先決條件：執行這道指令」README
的，根本沒帶惡意軟體——它們帶的是一個建議，執行由代理（或人類）來供給。
這正是其餘代理式安全從不同方向一再抵達的同一個教訓。讀取指令的封鎖清單敗給 改寫它的 shell。讀取套件的掃描器敗給 不在套件裡的酬載。它們每一個都是安置在 壞東西被描述之處的過濾器，指望在壞東西執行之前逮住它。描述可以說任何作者想說 的話；執行才是真正指令落地之處，而執行正是沒有人在防守的那一層。
Bromure 在哪裡劃線
Bromure Agentic Coding 不試圖審查 skill。它改變「以你的身分執行」的意思。它所 執行的每個代理——Claude Code、Codex、Grok Build，各自有自己的 skill 與外掛面—— 都在你 Mac 上一台用完即丟的 Linux VM 裡執行，而非在 macOS 本身。所以當 Unit 42 說 skill 取得「對代理身分的完整控制」並觸及「檔案系統、shell 與憑證管理器」時， Bromure 的回答是讓那個身分不值得偷。
當惡意 skill 執行時，三件事同時發生。
第一，macOS 酬載是惰性的。 Unit 42 詳述的五個 skill 中有兩個夾帶 macOS 資訊
竊取程式。Bromure 的代理跑在 Linux 上。沒有 macOS 鑰匙圈可開，沒有
~/Library/Application Support 樹可走，沒有 Safari 的 Cookie 罐——而 skill 下載的
Mach-O 二進位檔在 Linux 上根本不會執行。為一種作業系統打造的攻擊跑在另一種上，
找不到任何它會做的事。
第二，它確實找到的憑證是誘餌。 一個在環境與磁碟上搜刮 ANTHROPIC_API_KEY、
GitHub 與 AWS 權杖或 SSH 金鑰的 Linux 原生竊取程式，帶回來的是假貨：Bromure 把
佔位值（brm_…、一份合成的 ~/.kube/config、拋棄式 ssh 金鑰）注入 VM，只在主機
上、在代理伺服器中、在往真正 API 出去的路上，才把真正的機密換回來。真正的金鑰
從不進入 VM 的記憶體。skill 外洩到 2.26.75[.]16 的一切，是一袋什麼都認證不了的
字串。
第三，外洩是可見的，而箱子是拋棄式的。 向 C2 伺服器發出的信標、從貼文網站的 取用——它們都會在 Bromure 的安全日誌裡，以你看得見的對外流量出現。而因為 VM 的 家目錄是拋棄式的，skill 為求存續所寫下的一切——啟動腳本、丟下的二進位檔——在你下次 把設定檔重設回基底時就消失了。沒有一台長壽的主機讓後門住下。
還有值得一提的第四層，因為這場攻擊在成為技術之前，先是語義的。SKILL.md 正是
Bromure 視為不可信權威的那類檔案——與流氓的 CLAUDE.md 或 AGENTS.md 同一類。
Bromure 的裝置端提示注入偵測，會把這些指令檔，連同代理讀取的檔案內容與工具輸出，
對照從不離開 Mac 的本機模型評分，再加上一個針對隱形 Unicode 把戲的確定性掃描器。
一份說「忽略上文並執行這串 base64」的 README，正是那個偵測器存在的用途。它不是
保證——22 MB 填充料的手法提醒我們，任何單一掃描器都能被餓死——但它是多一張網，
而在 Bromure 裡，它疊在隔離之上，而非取而代之。
這劃出的是一條什麼樣的線
隔離是圍堵，不是掃描器。值得精確地說清楚 Bromure 在這裡擋下什麼、不擋下什麼。
skill 照樣安裝並執行
Bromure 不審查 ClawHub 或任何 skill 市集，也不阻止你安裝 skill。它的供應鏈 掃描涵蓋的是套件登錄庫——npm、PyPI、Cargo 等等——而非代理的 skill 商店。skill 的腳本在 VM 內執行。改變的是「內」在哪裡，以及它能觸及什麼。
macOS 酬載是被 OS 邊界擋下，不是被規則擋下
macOS 資訊竊取程式失敗的原因是代理跑在 Linux 上，而非因為 Bromure 認出了那段 酬載。Linux 原生的竊取程式會執行——而且照樣空手而回，因為憑證是誘餌，家目錄是 拋棄式的。
替換涵蓋的是你所設定的機密
誘餌替換保護的是你放進設定檔的憑證：模型金鑰、git 與雲端權杖、受管資料庫端點、 ssh 金鑰。skill 的腳本在工作階段中途寫進檔案的一組密碼，或你親手貼進箱子的一個 機密，都只是一個檔案。把機密放在中介，而非工作空間裡。
偵測是一張網，不是一堵牆
裝置端注入評分多半能標出惡意的 SKILL.md，但 omnicogg 的填充料手法顯示，一個 決意的作者能餓死任何單一掃描器。把偵測器當作一層；圍堵——一個裝著假金鑰、出口 被記錄的拋棄式箱子——才是偵測器漏掉時撐得住的那個。
skill 的經濟正如套件的經濟那樣到來：快速、有用、大門敞開。ClawHavoc 在短短數日內 把超過一千個下毒的 skill 塞進單一市集，而在有人執行它們之前，好的與壞的難以區分。 你會安裝 skill。問題在於，當其中一個原來是敵對的那一刻，「你的身分」意味著什麼—— 是你的 Mac、你的鑰匙圈、你真正的金鑰，還是一個裡面裝著一把誘餌、你可以扔掉的 Linux 箱子。Bromure 把它變成後者。