Сканер на основе LLM-агента для каталогов SKILL. Vetix объединяет детерминированный плагин с поведенческим аналитиком LLM, так что как очевидные индикаторы компромисса, так и тонкие, запутанные цепочки атак попадают в один проход.

中

[!Предупреждение] Каталог examples/ содержит образцы SKILL для целей тестирования, включая преднамеренно созданные вредоносные образцы. Не устанавливайте и не загружайте эти SKILL вне среды сканирования.

Особенности

Статическое сканирование на основе плагинов — правила улавливают детерминированные риски безопасности. ** Перекрёстная валидация LLM** — каждое попадание плагина повторно оценивается по реальному содержанию файла LLM, поэтому правила с высокой частотой вызова не заглушают окончательный отчет. Агент поведенческого анализа** — внутри виртуальной файловой системы, предназначенной только для чтения, отслеживает всю цепочку «инструкции → вызов инструмента → воздействие хоста», чтобы выявить риски, которые не хватает правилам: скрытые команды, полезная нагрузка Base64, удаленная загрузка кода, быстрая инъекция, кража учетных данных, настойчивость и многое другое.

• ** Оборонная песочница** - агент читает только внутри навыка, в симлинках отказывают, в бэкэнде отвергают каждую запись, а от модели скрываются мутирующие инструменты.

Vetix

An LLM-agent-based scanner for SKILL directories. Vetix pairs deterministic plugin rules with an LLM behavioral analyst so that both obvious indicators of compromise and subtle, obfuscated attack chains get caught in a single pass.

中文文档

[!WARNING] The examples/ directory contains sample SKILLs for testing purposes, including deliberately crafted malicious samples. Do not install or load these SKILLs outside of a scanning test environment.

Features

• Plugin-based static scanning — rules catch deterministic security risks.
• LLM cross-validation — every plugin hit is re-judged against the real file content by an LLM, so high-recall rules don’t drown the final report.
• Behavioral analysis agent — inside a read-only virtual filesystem, traces the full chain “instruction → tool call → host impact” to uncover risks the rules miss: disguised commands, Base64 payloads, remote code loading, prompt injection, credential theft, persistence, and more.
• Defense-in-depth sandbox — the agent reads only inside the skill, symlinks are refused, every write is rejected at the backend, and mutating tools are hidden from the model.
• Token usage accounting — the report records the token usage of every model call in a scan (prompt / completion / total + call count), so batch scan costs can be estimated.
• LangSmith tracing — every agent run is observable end-to-end.

CLI Options

Usage:
  vetix -s  | -p  [flags]

Flags:
  INPUT
    -s, -source string   SKILL directory path or a skills parent directory
    -p, -preset string   Scan all skills under a preset agent skills root (claude-code, codex)

  CONFIG
    -c, -config string   Path to the YAML config file (default "./config.yaml")
    -l, -language string Output language for audit findings (en, zh) (default "en")

  OUTPUT
    -o, -output          Save the audit report to //report.json (default true)
    -no-output           Disable saving the audit report to a JSON file
    -output-dir string   Base directory for saved reports (default "./output")
    -force               Ignore the cached report and force a full re-scan

  DEBUG
    -d, -debug           Enable debug logging

  PLUGIN
    -pl, -plugins-list   List built-in plugins with their names and descriptions

Common commands

# Scan a single SKILL; requires a SKILL.md file in the directory
vetix -s ./examples/malicious/wacli-1sk

# Scan the entire SKILL directory; requires a SKILL.md file in the immediate subdirectories
vetix -s ~/.claude/skills

# Scan using the preset path
vetix -p claude-code

# View the list of plugins
vetix -pl

Report Caching