NVIDIA SkillSpector: Quét skill AI trước khi cài — 26% skill chứa lỗ hổng

Buổi tối, bạn thấy một skill cho Claude Code được gắn sao khá nhiều trên GitHub. Mô tả đúng thứ mình cần, bạn chạy một lệnh cài, và từ đó mỗi lần nhờ agent làm việc, skill đó được đọc, được thực thi, được tin tưởng gần như không cần hỏi lại.

Vấn đề nằm ở chỗ đó. Một skill không phải đoạn ghi chú vô hại. Nó là gói gồm file SKILL.md, script đi kèm và cấu hình MCP — tức là cả instruction, cả code, cả quyền gọi tool. Nếu trong skill có đoạn instruction ẩn yêu cầu gửi biến môi trường ra ngoài, hay một MCP tool xin quyền rộng hơn mức cần thiết, bạn sẽ không thấy gì lạ cho tới khi dữ liệu đã rời khỏi máy.

SkillSpector là máy quét mã nguồn mở của NVIDIA, quét skill AI trước khi bạn cài nó, rồi trả về điểm rủi ro 0–100 cùng khuyến nghị SAFE, CAUTION hoặc DO NOT INSTALL. Bài này giải thích nó quét như thế nào, cách cài và đọc kết quả, khi nào nó đủ dùng và khi nào vẫn cần review tay.

Con số mở đầu cần nói rõ nguồn: theo nghiên cứu của NVIDIA trên 31.132 skill, 26,1% chứa lỗ hổng và 5,2% có dấu hiệu độc hại. Đây là số liệu do NVIDIA công bố, không phải đo lường độc lập của blog.

SkillSpector là gì? Máy quét supply-chain cho skill AI

Skill AI là gì và vì sao nó là bề mặt tấn công mới

Skill cho Claude Code, Codex hay Gemini CLI thường chỉ là một thư mục nhỏ: file SKILL.md, vài script hỗ trợ, có thể kèm cấu hình MCP. Nhỏ, nhưng agent đối xử với nó như instruction đáng tin — đọc file, chạy shell, gọi API — và người dùng hiếm khi đọc hết từng dòng trước khi cài.

Các vector rủi ro thường gặp: prompt injection qua nội dung skill, data exfiltration qua lệnh gửi dữ liệu ra ngoài, privilege escalation khi skill xin quyền vượt mức cần thiết, rủi ro supply chain khi repo skill bị chiếm, MCP tool poisoning khi tool mô tả một đằng làm một nẻo, và memory poisoning khi skill ghi thông tin sai lệch vào bộ nhớ lâu dài của agent. Không vector nào cần khai thác lỗ hổng hệ điều hành. Chỉ cần agent tin skill là đủ.

Bản thân skill bảo mật cũng là đối tượng cần quét như bất kỳ skill nào khác. Bài về skill kiểm toán bảo mật của Cloudflare cho thấy một skill hữu ích ra sao khi được viết cẩn thận. Muốn hiểu skill nói chung hoạt động thế nào trong quy trình làm việc của coding agent, xem bài về taste-skill và bài về Superpowers.

SkillSpector giải quyết đúng vấn đề nào

SkillSpector đặt một cổng kiểm tra ở bước trước khi cài. Thay vì phát hiện sự cố sau khi agent đã chạy skill độc hại, bạn quét trước, đọc điểm số và quyết định có cài hay không. Đối tượng quét là skill cho Claude Code, Codex, Gemini CLI và skill MCP.

Thông tin dự án đã xác minh ngày 2026-11-09: repo NVIDIA/skillspector, giấy phép Apache-2.0, 24.955 stars và 2.181 forks, tạo ngày 2026-03-21, bản mới nhất v2.13.4 phát hành ngày 2026-11-04, yêu cầu Python 3.12 trở lên, tài liệu tại docs.nvidia.com/skills/scanning-agent-skills. SkillSpector là một mắt xích của NVIDIA Verified Skills pipeline: skill đạt chuẩn được quét, đánh giá, ký và đưa vào catalog của NVIDIA. Theo mình, vị trí này quan trọng hơn bản thân con số pattern, vì nó cho thấy công cụ nằm trong một quy trình đang được duy trì, không phải một repo làm một lần rồi bỏ.

Ai nên dùng — và ai chưa cần

Nên dùng nếu bạn cài skill từ GitHub thường xuyên, nếu bạn là DevOps hay SRE quản lý nhiều agent, hoặc nếu bạn là IT manager chịu trách nhiệm về supply-chain của AI agent. Chưa phải ưu tiên nếu bạn chỉ dùng skill chính chủ, skill đã tự review kỹ, hoặc môi trường của bạn không cài skill ngoài.

Kiến trúc SkillSpector: hai tầng quét, một điểm rủi ro

Sơ đồ pipeline quét skill

flowchart LR
    A["Đầu vào\nThư mục skill / SKILL.md\nURL repo GitHub / file .zip"] --> B["Ingest & giới hạn an toàn\nCap 100 MiB, tối đa 10.000 thành viên file nén\nFail-closed khi vượt giới hạn"]
    B --> C["Tầng 1 — Phân tích tĩnh\n71 pattern theo README* / 17 danh mục\nAST, taint tracking, YARA\nMCP least privilege & tool poisoning"]
    C --> D["Tầng 2 — Đánh giá ngữ nghĩa bằng LLM\nMặc định nv_build, model z-ai/glm-5.3\nCần NVIDIA_INFERENCE_KEY, tắt bằng --no-llm"]
    C --> E["Tra cứu CVE qua OSV.dev\nSong song với phân tích\nFallback offline khi không có mạng"]
    D --> F["Chấm điểm rủi ro 0–100\n+ nhãn mức độ"]
    E --> F
    F --> G["Khuyến nghị\nSAFE / CAUTION\nDO NOT INSTALL\nTerminal / JSON / Markdown / SARIF"]

Ghi chú dưới sơ đồ: con số pattern ghi 71 theo README, tài liệu NVIDIA ghi 68 — con số thay đổi theo bản phát hành, nên hãy kiểm tra số pattern của đúng bản mình đang chạy. Tầng LLM chạy mặc định khi có provider và key hợp lệ, tắt bằng --no-llm. OSV.dev là tra cứu ngoài, chạy song song với phân tích. Điểm số cuối cùng là đầu ra tổng hợp của cả ba nguồn — phân tích tĩnh, đánh giá LLM và tra cứu CVE — không phải của riêng tầng nào. Cổng thoát fail-closed nằm ngay ở bước ingest: vượt giới hạn thì chặn hẳn, không quét nửa vời rồi báo SAFE.

Tầng tĩnh làm được gì — và giới hạn của pattern matching

Tầng tĩnh quét skill bằng 71 pattern trên 17 danh mục theo README — tài liệu NVIDIA ghi 68, con số thay đổi theo bản phát hành: prompt injection, data exfiltration, privilege escalation, supply chain, excessive agency, output handling, system prompt leakage, memory poisoning, tool misuse, rogue agent, anti-refusal, trigger abuse, dangerous code, taint tracking, YARA, MCP least privilege và MCP tool poisoning. Ví dụ: lệnh shell ẩn trong SKILL.md yêu cầu đọc file credential rồi gửi đi, hay MCP tool xin quyền ghi file trong khi công việc của nó chỉ cần đọc.

Công cụ không chỉ quét chuỗi ký tự. Phân tích AST nhìn vào cấu trúc code, taint tracking theo dõi dòng dữ liệu nhạy cảm đi từ nguồn tới đích, chữ ký YARA bắt các mẫu code nguy hiểm đã biết, và kiểm tra MCP least privilege đối chiếu quyền tool xin với quyền công việc thực sự cần. Giới hạn: pattern chỉ bắt được cái đã biết hoặc có dấu hiệu rõ — skill độc hại viết khéo vẫn có thể lọt, nên điểm sạch không phải chứng nhận an toàn.

Tầng LLM tùy chọn — khi nào bật, khi nào tắt

Tầng LLM đánh giá ngữ nghĩa của skill: bắt những instruction độc hại diễn đạt bằng ngôn ngữ tự nhiên mà pattern cứng bỏ sót. Cái giá của tầng này là nội dung skill được gửi tới nhà cung cấp LLM. Provider được cấu hình qua biến môi trường SKILLSPECTOR_PROVIDER, hỗ trợ OpenAI, Anthropic, AWS Bedrock, Gemini, Azure OpenAI, Ollama và endpoint build của NVIDIA. Mặc định, provider là nv_build với model z-ai/glm-5.3 trên build.nvidia.com, và cần key NVIDIA_INFERENCE_KEY. Quan trọng: tầng LLM chạy mặc định khi có provider và key hợp lệ — nó không phải opt-in. Muốn tắt, bạn phải thêm cờ --no-llm; nếu chưa có key, dùng --no-llm để quét tĩnh hoàn toàn.

Nếu bạn quét skill nội bộ chứa bí mật, hoặc không có API key và không muốn gửi nội dung ra ngoài, thêm cờ --no-llm. Quét tĩnh vẫn chạy đầy đủ, và theo mình đây là lựa chọn đúng cho đa số trường hợp.

Điểm rủi ro 0–100 và ba mức khuyến nghị — đọc sao cho đúng

Điểm rủi ro là một heuristic tổng hợp, không phải xác suất bị tấn công. Đừng đọc 20/100 thành “20% khả năng bị hack”. Hãy đọc theo khuyến nghị đi kèm: DO NOT INSTALL là chặn cứng — đừng cài, đừng tìm cách vòng qua; CAUTION là review tay bắt buộc — mở skill ra đọc, hiểu từng finding rồi mới quyết định; SAFE là không phát hiện vấn đề trong phạm vi quét, và vẫn nên giữ thói quen kiểm tra định kỳ.

Định dạng báo cáo gồm danh sách finding, mức độ từng finding và khuyến nghị tổng thể.

Cài đặt SkillSpector và quét skill đầu tiên

Yêu cầu trước khi cài

Bạn cần Python 3.12 trở lên và uv — công cụ quản lý Python mà tài liệu khuyên dùng. Cần Git nếu cài từ source, và Docker nếu muốn quét cách ly hoàn toàn khỏi máy host. Tầng LLM bật mặc định nên cần key: provider mặc định nv_build dùng NVIDIA_INFERENCE_KEY; nếu chưa có key, quét tĩnh với --no-llm thì không cần key nào. Lưu ý: SkillSpector hiện không có trên PyPI theo tài liệu hiện tại. Đừng chạy pip install skillspector, và đừng cài một package cùng tên nào đó trên PyPI rồi tưởng đó là công cụ này.

Cài đặt — ba cách

Cách 1, khuyến nghị, cài như một công cụ độc lập bằng uv:

uv tool install git+https://github.com/NVIDIA/skillspector.git

Muốn dùng thêm tính năng MCP, cài biến thể có extra mcp:

uv tool install 'skillspector[mcp] @ git+https://github.com/NVIDIA/skillspector.git'

Cách 2, cài từ source khi bạn muốn xem code hoặc đóng góp:

git clone https://github.com/NVIDIA/skillspector.git
cd skillspector
uv venv .venv && source .venv/bin/activate
make install

Cách 3, Docker, khi bạn muốn quét skill chưa tin tưởng mà không chạm vào máy host:

make docker-build
docker run --rm -v "$PWD:/scan" skillspector scan ./my-skill/ --no-llm

Kiểm tra cài đặt thành công bằng skillspector --help. Nếu lệnh chạy và hiển thị trợ giúp với subcommand scan, công cụ đã sẵn sàng. Bản mới nhất tại thời điểm kiểm tra là v2.13.4 (2026-11-04) — khi đối chiếu tài liệu, hãy ghi nhận đúng bản mình đang chạy, vì số pattern và hành vi có thể khác nhau giữa các bản.

Quét skill — các dạng đầu vào và lệnh mẫu

SkillSpector nhận nhiều dạng đầu vào, nên bạn không cần chuẩn hóa skill trước khi quét:

skillspector scan ./my-skill/
skillspector scan ./SKILL.md
skillspector scan https://github.com/user/my-skill
skillspector scan ./my-skill.zip
skillspector scan ./my-skill/ --no-llm
skillspector scan ./my-skill/ --format json --output report.json

Ngoài JSON, công cụ hỗ trợ định dạng terminal, Markdown và SARIF. SARIF hữu ích khi bạn muốn đưa finding vào GitHub code scanning, vì đó là định dạng chuẩn mà GitHub hiểu sẵn.

Đọc báo cáo và lỗi thường gặp

Đọc báo cáo theo thứ tự: khuyến nghị tổng thể trước, finding mức cao nhất sau, rồi mới tới chi tiết. Nếu kết quả là DO NOT INSTALL, dừng lại. Nếu là CAUTION, mở từng finding, xem file và dòng liên quan, kiểm tra xem hành vi đó có lý do chính đáng không — một skill hợp lệ đôi khi vẫn bị gắn cờ vì nó thực sự chạy shell hoặc đọc file nhạy cảm. Nếu là SAFE, lưu lại báo cáo để lần sau skill cập nhật thì có cái đối chiếu.

Phần này mình chưa chạy thử SkillSpector, nên không đưa output terminal mẫu hay điểm số cụ thể của một skill thật. Lệnh cài và quét ở trên chỉ đối chiếu tài liệu chính thức.

Lỗi thường gặp: Python dưới 3.12 — kiểm tra python3 --version trước khi cài. Thiếu uv — cài uv theo hướng dẫn chính thức của uv rồi chạy lại lệnh cài. Quét repo private mà không có quyền truy cập — clone về máy rồi quét thư mục local thay vì quét URL. Vượt giới hạn ingest, tức file nén trên 100 MiB hoặc chứa hơn 10.000 thành viên file nén — công cụ chặn hẳn theo thiết kế fail-closed; cách xử lý đúng là thu hẹp phạm vi quét, không tìm cách vòng qua giới hạn. Chạy không có --no-llm mà chưa có NVIDIA_INFERENCE_KEY cho provider mặc định nv_build — thêm --no-llm hoặc đặt key.

Gắn SkillSpector vào CI

Giá trị lớn nhất của một máy quét có output chuẩn máy đọc là gắn được vào CI. Quy trình gợi ý: mọi pull request thêm hoặc sửa skill đều phải qua bước quét; gặp DO NOT INSTALL thì chặn merge; gặp CAUTION thì yêu cầu review tay có ghi chú, không merge mù. SARIF đưa finding vào GitHub code scanning để reviewer thấy ngay trong giao diện PR, còn baseline giúp đội không bị chặn lại bởi finding đã chấp nhận từ trước.

Exit code làm cho gate này khả thi mà không cần tự phân tích output. Theo tài liệu, skillspector scan trả về 0 khi điểm rủi ro ≤ 50 (tức SAFE hoặc CAUTION) và không có gate nghiêm ngặt nào bị vi phạm; trả về 1 khi điểm vượt 50 hoặc khi một cờ chặn bị vi phạm; trả về 2 khi gặp lỗi. Các cờ chặn gồm --fail-on-findings (chặn khi có finding), --fail-on-incomplete (chặn khi quét không hoàn tất) và --min-coverage (chặn khi độ bao phủ phân tích dưới ngưỡng). Một bước CI tối giản có thể viết:

- name: Quét skill mới
  run: skillspector scan ./skills/ --no-llm --fail-on-findings --fail-on-incomplete

Cờ --no-llm ở đây giữ cho bước CI không cần key LLM và không gửi nội dung skill ra ngoài. Trước khi đưa vào CI production, vẫn nên chạy thử trên một repo test để thấy hành vi thực tế của từng mức khuyến nghị, rồi mới chốt ngưỡng chặn. SkillSpector bổ sung cho Heldkeys (quyền truy cập sau khi cài), iFixAi (kiểm toán agent đã triển khai) và Shannon (pentest web app và API): nó chặn ở cửa, trước khi skill kịp chạy.

Gỡ skill và thu hồi sau sự cố

Gỡ một skill đã cài không thu hồi được dữ liệu đã rò rỉ. Nếu bạn phát hiện skill độc hại đã từng chạy, đừng chỉ xóa thư mục skill rồi coi như xong: thu hồi credential có thể đã lộ, rà soát log của agent và các hệ thống liên quan, kiểm tra xem skill đã gọi tool nào và gửi dữ liệu đi đâu. Quét trước khi cài là phòng ngừa, không phải khắc phục.

Đánh giá kỹ thuật: SkillSpector mạnh ở đâu, yếu ở đâu

Ưu điểm

Miễn phí, mã nguồn mở Apache-2.0, từ NVIDIA — độ tin cậy nhà phát hành cao và nhịp cập nhật dày, từ v2.13.1 tới v2.13.4 chỉ trong khoảng 12 ngày. Phủ rộng 17 danh mục, cả skill Claude Code, Codex lẫn MCP, đúng điểm mù mà kiểm tra quyền truy cập kiểu Heldkeys không phủ. Chạy offline được ở tầng tĩnh với --no-llm, không bắt buộc gửi code cho LLM bên thứ ba, và có Docker để quét cách ly. Output chuẩn máy đọc JSON và SARIF nên gắn được vào CI, không chỉ chạy tay.

Nhược điểm và giới hạn kỹ thuật

Pattern-based là giới hạn lớn nhất: công cụ không chứng minh được skill an toàn, và skill độc hại mới, viết khéo vẫn có thể lọt. Tầng LLM là con dao hai lưỡi: tốn chi phí, gửi nội dung skill ra ngoài, và bản thân LLM cũng có false positive lẫn false negative; mặc định nó dùng provider nv_build với model z-ai/glm-5.3 và cần NVIDIA_INFERENCE_KEY, nên quét mà không có key thì phải nhớ thêm --no-llm. Công cụ không thay review tay đối với skill nội bộ chứa bí mật, và không thay sandbox hay runtime monitoring sau khi cài. Cài đặt từ GitHub qua uv, không có PyPI, là rào cản nhỏ với người quen pip install.

Bảo mật và vận hành

Khi quét skill chưa tin tưởng, hãy chạy trong Docker hoặc trên máy riêng, đừng quét trên máy chứa credential rồi bỏ qua cảnh báo. Dùng --no-llm cho skill nội bộ nhạy cảm, và cấu hình provider LLM rõ ràng, không để NVIDIA_INFERENCE_KEY hay key LLM khác lọt vào repo hay log CI. Fail-closed ở bước ingest là điểm cộng vận hành: vượt giới hạn thì chặn chứ không quét nửa vời rồi báo SAFE.

Về hiệu năng, bài này không đưa con số nào. Chưa có benchmark độc lập nào được xác minh, và giai thoại lan truyền trên mạng xã hội về thời gian quét hay điểm số của một skill cụ thể cũng chưa xác minh được, nên mình không dùng.

So sánh SkillSpector với các lựa chọn cùng phạm vi

Tiêu chí so sánh: phạm vi quét, phương pháp, chạy offline được không, output máy đọc và gắn CI, chi phí, và nhà phát hành. Chỉ so sánh trên tiêu chí đã nêu, không bịa tính năng của đối thủ, không gán điểm số cho công cụ chưa đo.

Kết luận từ bảng này: SkillSpector là một gate rẻ ở bước pre-install — miễn phí, quét tĩnh chạy được offline, output chuẩn máy đọc nên gắn được vào CI mà không cần hạ tầng thêm. Các lựa chọn còn lại phủ các tầng khác — quyền truy cập, kiểm toán sau triển khai, hành vi runtime — nên xếp chồng lên nhau chứ không thay nhau. Review tay vẫn là baseline mọi đội đều có, và là thứ bạn quay về mỗi khi gặp CAUTION.

Dùng SkillSpector trong thực tế — 4 kịch bản

Lập trình viên cá nhân: quét trước mỗi lần cài skill từ GitHub. Tải skill về, chạy skillspector scan ./my-skill/ --no-llm, đọc khuyến nghị, chỉ cài khi SAFE hoặc khi đã review xong CAUTION. Làm đều tay, bạn sẽ hình thành thói quen không cài skill mù — giống như không chạy script lạ mà chưa đọc.

DevOps/SRE: gate skill trong CI của repo agent. Mọi PR thêm hoặc sửa skill phải qua bước quét. DO NOT INSTALL chặn merge. CAUTION yêu cầu review tay có ghi chú của reviewer. Theo thời gian, baseline tích lũy giúp đội chỉ tập trung vào finding mới thay vì tranh cãi lại những finding đã chấp nhận.

IT manager / sysadmin: chuẩn hóa danh mục skill được phép. Quét toàn bộ skill đang dùng trong tổ chức, lập allowlist những skill đã qua kiểm tra. Skill mới ngoài allowlist phải qua quét và phê duyệt trước khi đưa vào dùng chung. Kết hợp với Heldkeys để kiểm tra quyền truy cập sau khi cài — SkillSpector chặn ở cửa, Heldkeys kiểm tra những gì đã lọt vào trong.

Homelab: quét skill cho agent chạy trên máy nhà. Dùng Docker cộng --no-llm để quét cách ly, không gửi nội dung skill đi đâu. Cách này phù hợp cả skill tự viết lẫn skill cộng đồng, và đặc biệt hợp với máy nhà vốn chứa nhiều dữ liệu cá nhân mà bạn không muốn đưa lên một LLM provider lạ.

Kết luận — SkillSpector phù hợp với ai, không phù hợp với ai

SkillSpector phù hợp với người cài skill ngoài thường xuyên, đội quản lý nhiều agent, và tổ chức bắt đầu lo về supply-chain AI mà chưa có gate nào ở bước cài đặt. Nó rẻ, chạy offline được ở tầng tĩnh, và gắn được vào CI — đủ để biến quyết định “có nên tin skill này không” từ cảm tính thành quyết định có điểm số và có chặn cứng.

Nó không phù hợp, hoặc chưa đủ, với người cần bảo đảm an toàn tuyệt đối — không có máy quét nào cho điều đó — và với đội cần kiểm soát runtime hay sandbox, vì SkillSpector chỉ nhìn skill ở trạng thái tĩnh trước khi chạy. Đội đó cần thêm tầng khác: giới hạn quyền, sandbox, kiểm toán sau triển khai.

Bước tiếp theo cụ thể: cài theo hướng dẫn bằng uv hoặc Docker, chạy skillspector scan ./my-skill/ --no-llm trên một skill bạn đang dùng, đọc điểm và khuyến nghị, rồi quyết định có đưa vào CI hay không. Một lần quét thật trên skill thật sẽ cho bạn nhiều thông tin hơn mười bài giới thiệu.

Bài học rút ra

1. Skill AI chạy với quyền tin cậy ngầm của agent — quét trước khi cài rẻ hơn xử lý sự cố sau khi agent đã chạy skill độc hại.
2. Điểm SAFE không phải chứng nhận an toàn: SkillSpector bắt pattern đã biết, skill độc hại viết khéo vẫn có thể lọt — review tay vẫn cần với CAUTION và skill nhạy cảm.
3. --no-llm là lựa chọn mặc định đúng khi quét skill nội bộ hoặc chưa tin tưởng: quét tĩnh đủ để chặn phần lớn rủi ro rõ ràng mà không gửi nội dung ra ngoài.
4. Số pattern thay đổi theo bản phát hành, 71 theo README và 68 theo tài liệu NVIDIA — luôn kiểm tra con số của đúng bản đang chạy, đừng trích số tuyệt đối.
5. Một máy quét chỉ phủ một tầng: SkillSpector chặn ở cửa trước khi cài, còn quyền truy cập kiểu Heldkeys, kiểm toán kiểu iFixAi và sandbox runtime là các tầng khác phải xếp chồng.
6. Fail-closed tốt hơn fail-open: vượt giới hạn ingest thì chặn hẳn, đừng chấp nhận kết quả quét nửa vời rồi báo SAFE.

Phạm vi xác minh

Ngày kiểm tra: 2026-11-09. Đã xác minh trực tiếp từ README và GitHub API: tên dự án, giấy phép Apache-2.0, stars và forks, ngày tạo và lần push gần nhất, bản v2.13.4, yêu cầu Python 3.12+, lệnh cài và quét, 71 pattern trên 17 danh mục theo README (tài liệu NVIDIA ghi 68), điểm rủi ro 0–100 và ba mức khuyến nghị, thuộc NVIDIA Verified Skills pipeline.

Số 26,1% và 5,2% là số liệu nghiên cứu của NVIDIA trên 31.132 skill, trích theo nguồn, không phải đo lường độc lập của blog. Chưa xác minh: con số pattern tuyệt đối, 71 so với 68; hiệu năng quét; bất kỳ benchmark thời gian nào. Chưa cài đặt, chạy thử hay benchmark SkillSpector trong quá trình làm bài này — lệnh cài và quét chỉ đối chiếu tài liệu chính thức, chưa có output mẫu thật; exit code và các cờ chặn CI nêu trong bài lấy từ tài liệu chính thức, chưa đo thực tế trên máy của blog. Không khẳng định SkillSpector bắt được một skill độc hại cụ thể nào ngoài đời thực, vì chưa có bằng chứng xác minh. Hành vi mặc định: tầng tĩnh luôn chạy; tầng LLM bật mặc định khi có provider và key hợp lệ — provider mặc định là nv_build với model z-ai/glm-5.3 trên build.nvidia.com, cần NVIDIA_INFERENCE_KEY — và tắt bằng --no-llm; tra cứu CVE qua OSV.dev có fallback offline. Các con số như giới hạn 100 MiB và 10.000 thành viên file nén là cấu hình ingest, không phải benchmark.

Tài liệu tham khảo

• NVIDIA SkillSpector — GitHub: https://github.com/NVIDIA/skillspector
• NVIDIA Docs — Scanning agent skills: https://docs.nvidia.com/skills/scanning-agent-skills
• NVIDIA Skills catalog: https://github.com/NVIDIA/skills
• OSV.dev — CVE lookup: https://osv.dev/