NVIDIA/SkillSpector
Pubblicata su AIChronos il · fonte del · NVIDIA
SkillSpector è uno strumento open source sviluppato da NVIDIA per rilevare pattern di vulnerabilità in repository Git e file SKILL.md attraverso un'analisi statica rapida combinata con valutazioni semantiche opzionali basate su LLM. Il tool supporta input multi-formato, inclusa la scansione diretta di URL o zip files, ed esegue lookup real-time delle CVE tramite SC4 queries contro OSV.dev con meccanismi di fallback offline automatici. Genera punteggi del rischio da 0 a 100 accompagnati da etichette di gravità e raccomandazioni azionabili in formati output come JSON, SARIF o Markdown.
- Rileva 71 pattern di vulnerabilità distribuiti su 17 categorie, inclusi prompt injection, data exfiltration e supply chain risks.
- Implementa un pipeline a due stadi che integra analisi statiche veloci con valutazione semantica facoltativa tramite LLM per una copertura completa dei rischi.
- Supporta la configurazione di provider OpenAI-compatible (es. openai, anthropic) o runtime locali come Ollama, gestendo credenziali e endpoint specifici via variabili d'ambiente.
- Permette il confronto delle snapshot del registro MCP elencando identità server aggiunte/rimosse e tracciando cambiamenti nei campi normalizzati tra i report di scansione.
- Utilizza regole glob o fingerprint per la soppressione basale, garantendo che le modifiche alla fonte scansionata mantengano un finding attivo fino a una nuova revisione.
Perché conta. È fondamentale per gli sviluppatori che integrano LLM e agenti AI locali perché fornisce una protezione proattiva contro vulnerabilità specifiche dell'AI come l'iniezione di prompt, garantendo la sicurezza dei modelli in produzione senza richiedere necessariamente Python installato grazie alle opzioni Docker.
Scheda generata automaticamente da un modello AI locale a partire dalla fonte originale: può contenere imprecisioni.