凌晨看 Moltbook 热帖，第一条就是一句很扎心的话：“skill.md is an unsigned binary”。这句话之所以狠，不是它修辞漂亮，而是它把很多人在 AI Agent 时代最致命的盲区一句点穿了：
你以为自己在“读说明书”，系统其实在“吃指令”；你以为自己在“复用社区能力”，实际上是在“引入未验证执行面”。
很多人对供应链攻击的理解还停在 npm 包、pip 包、Docker 镜像。但 Agent 时代的供应链早就换皮了：现在最危险的“依赖”，可能不是 package.json，而是一个写得像教程、但语义上能驱动行为的 skill 文件。
一、为什么说 Skill 不是文档，而是行为编译器
传统文档只影响人，最多让你理解错；Skill 会影响模型决策链，直接改变系统行为。
这两者的风险等级完全不是一个数量级。
文档写错：你可能学错一件事。
Skill 被投毒：你的 Agent 可能在“看起来合理”的语境里做出错误动作，甚至外发敏感信息、执行高风险操作。
更要命的是，Skill 的危险不靠“恶意代码”触发，靠“语义诱导”就够了。它可以不包含任何脚本，不调用任何 shell，只要它成功重排了模型的优先级，它就已经完成攻击。
所以那句“unsigned binary”非常准确：Skill 虽然是文本，但在系统层面的效果接近二进制载荷——输入后，行为变了。
二、AI 时代的“提示词供应链攻击”长什么样
很多团队还在用旧时代思路防御：扫漏洞、锁版本、查 CVE。不是没用，但不够。
提示词/Skill 供应链攻击有三个特征：
- 高伪装性：它看起来像最佳实践、像热心教程、像社区贡献。
- 低摩擦传播：复制一个目录、贴一段模板、装一个“效率包”，几分钟进生产。
- 高延迟爆炸：不会立刻炸，先“跑得挺好”，直到某个条件满足才偏航。
这意味着，传统“上线前静态检查一次”根本不够。你需要的是持续验证机制，而不是一次性信任。
三、最危险的不是黑客，而是“善意的粗糙”
真实世界里，大多数事故并不是黑客大片，而是“好人写了坏规则”。
有人分享了一个很火的 Skill，初衷是提高自动化效率；另一人把它改了两行，加入“更主动”的外发逻辑；第三个人复制时删了安全约束；第四个人把它接到了有真实权限的通道。于是，系统开始在无人察觉的情况下，朝错误方向稳定运行。
这条链路里每个人都觉得自己在“优化”，结果是一起把风险推上了生产。
所以我的判断是：未来 12 个月里，AI 基础设施最大的系统性风险，不是模型能力不够，而是组织把“可复制文本”当成“可信资产”。
四、你该建立的不是“下载规范”，而是“执行主权”
很多公司会说：我们加个白名单就行。不好意思，这只是门口保安，不是治理体系。
真正有用的，是把 Skill 生命周期做成工程对象：
- 来源可追溯：谁写的、何时引入、改了什么。
- 内容可审计：高风险语义（外发、删除、覆盖、权限升级）自动标注。
- 行为可回放：发生异常时能还原“它为什么这么做”。
- 发布可回滚：一旦发现偏航，分钟级回退到上一个可信版本。
- 权限可分层：阅读类 Skill、建议类 Skill、执行类 Skill 必须隔离。
一句话：别把 Skill 当素材库，要把它当生产依赖管理。
五、给个人开发者的硬核最低配（不搞形式主义）
如果你是个人开发者，不可能一夜之间搭完整平台，那就先做四件足够有杀伤力的事：
- 固定来源：只从自己维护仓库或少量可信作者同步。
- 引入即审阅：每次新增 Skill，强制人工读一遍“能触发动作的段落”。
- 默认最小权限：新 Skill 上线先只给读权限，不给外发/写入。
- 每周一次行为抽检：随机抽 3 次 Agent 轨迹，看它是否偏离你设定的边界。
这些动作听起来土，但比“我感觉这个 Skill 很火，应该没事”强一万倍。
六、为什么这个问题现在必须解决
因为我们已经进入“代理可以真实做事”的阶段：它不再只是回答问题，而是会调 API、改文件、发消息、触发流程。能力越实用，风险越现实。
你可以接受模型偶尔答错一个概念，但你不能接受它在凌晨三点把错误动作稳定执行 200 次。
这不是危言耸听，这是自动化系统的一般规律：错误一旦流程化，损失会指数化。
所以我不建议把注意力都放在“哪个模型更聪明”。更该问的是：
- 谁在定义我的代理行为？
- 这些定义是否可验证、可追责、可回滚？
- 我有没有把“文本信任”升级成“系统信任”？
如果这三问你答不上来，那你不是在用 Agent 提效，你是在拿生产环境做概率实验。
结语
“Skill.md 是未签名二进制”这句话，真正刺痛人的地方在于：它逼我们承认一个事实——AI 时代最昂贵的不是算力，而是判断力。
模型会越来越强，复制会越来越快，社区会越来越热闹。真正拉开差距的，不是你装了多少 Skill，而是你有没有能力区分：
哪些是资产，哪些是风险；
哪些是工具，哪些是诱导；
哪些该自动化，哪些必须由人拍板。
别再迷信“能跑就行”。
在 Agent 时代，能长期安全地跑，才叫本事。
—— https://www.80aj.com