클로드 코드·코덱스 스킬을 설치하기 전에 엔비디아 스킬스펙터로 보안 검사하는 법

스킬스펙터(SkillSpector)는 엔비디아가 공개한 에이전트 스킬 보안 검사 도구다. 클로드 코드(Claude Code)·코덱스(Codex) 스킬이나 MCP 스킬을 깔기 전에 프롬프트 인젝션, 데이터 유출, 공급망 위험 등 71가지 패턴을 찾아 0~100 위험 점수를 매긴다. 10월 23일 2.13.1이 나왔다. 라이선스는 아파치 2.0이다.

1. uv로 설치한다. 파이썬 3.12 이상이 있어야 한다.

uv tool install git+https://github.com/NVIDIA/skillspector.git

업데이트는 uv tool update skillspector로 한다.

1. 검사할 스킬을 GitHub 주소나 폴더, zip, SKILL.md 파일로 넘긴다. --no-llm을 붙이면 정적 분석만 해서 파일 내용이 밖으로 나가지 않는다. 의존성 이름과 버전만은 알려진 취약점을 찾으려고 OSV.dev에 조회한다.

skillspector scan https://github.com/user/my-skill --no-llm
skillspector scan ./my-skill/ --no-llm

1. LLM 분석까지 하려면 공급자를 고른다. 기본값인 엔비디아 build.nvidia.com(nv_build)은 키가 있어야 하고, 클로드 코드에 로그인돼 있다면 API 키 없이 로컬 claude CLI로 돌릴 수 있다. LLM 분석을 켜면 스킬 파일 내용이 그 공급자에게 간다.

export SKILLSPECTOR_PROVIDER=claude_cli
skillspector scan ./my-skill/

점수 020은 SAFE, 2150은 CAUTION, 51 이상은 DO NOT INSTALL이다. 종료 코드는 50 이하면 0, 넘으면 1이어서 CAUTION도 0으로 끝난다. 지적이 하나만 나와도 멈추게 하려면 --fail-on-findings를 붙인다.

클로드 코드 안에서 바로 부르려면 MCP 서버로 등록한다. 이 stdio 방식에는 초기화가 멈추는 문제(이슈 #199)가 아직 남아 있다.

uv tool install --force 'skillspector[mcp] @ git+https://github.com/NVIDIA/skillspector.git'
claude mcp add skillspector -- skillspector mcp