Skill-Check · ohne Kosten
Weißt du, was ein Skill tut, bevor er bei dir läuft?
Skills und Plugins für Claude Code sind Text, Skripte und Vorlagen, und sie laufen mit deinen Rechten auf deinem Rechner. Wir lesen sie, bevor du sie installierst, und sagen dir in einer Ampel, was drinsteckt.
- Rein lesend, nichts wird ausgeführt
- 42 Regeln, Lizenz zuerst
- Kurzbericht per E-Mail
Was geprüft wird
Zwölf Blickwinkel, ein Bericht
Der Check liest Ordner, Datei oder ZIP und führt nichts aus. Jeder Befund nennt Datei, Zeile und Regel, damit du ihn selbst nachsehen kannst.
Lizenz
MIT, Apache und BSD sind grün. GPL und AGPL rot, weil sie auf deine eigene Arbeit durchschlagen können. Keine oder unklare Lizenz ist gelb.
Skripte und Hooks
Welche Skripte laufen, wann sie laufen und ob ein Hook sich bei jedem Werkzeugaufruf einklinkt.
MCP-Server und Binärdateien
Fremde Server, Archive, versteckte oder große Dateien und alles, was sich nicht als Text lesen lässt.
Netzwerk
Verweise nach außen, Downloads, Aufrufe mit curl oder wget, alles, was Daten holt oder wegschickt.
Installationen
Paketmanager, npx, pip, brew: Was der Skill auf deinem Rechner nachinstallieren würde.
Rechte und Schlüssel
Zugriff auf sudo, Systemeinstellungen, Schlüsselbund, Umgebungsvariablen mit Zugangsdaten.
Löschbefehle
Rekursives Löschen, Formatieren, Überschreiben außerhalb des Projektordners.
Verschleierung und versteckte Anweisungen
Kodierter Code, unsichtbare Zeichen und Texte, die der KI etwas anderes sagen als dir.
Das Ergebnis
Eine Ampel, die begründet ist
Keine roten und keine gelben Befunde. Lizenz passt, keine Netzwerkzugriffe, keine Installationen, keine Rechte über das Projekt hinaus. Du kannst installieren.
Befunde, die du ansehen und begründen solltest: zum Beispiel ein Skript, das ins Netz will, oder eine Lizenz, die fehlt. Jeder gelbe Befund steht mit Datei und Zeile im Bericht.
Mindestens ein Befund, bei dem wir vom Einsatz abraten: GPL oder AGPL, Löschbefehle außerhalb des Projekts, Zugriff auf Schlüssel, versteckte Anweisungen an die KI.
So läuft es ab
Link schicken, Bericht bekommen
Du schickst den Link
Repo-Adresse oder Name des Skills. Hast du nur ein ZIP, sag uns kurz Bescheid; wir antworten mit einem Weg, es sicher zu übergeben.
Wir prüfen rein lesend
Derselbe Check, den die Werkbank mitbringt: 42 Regeln in drei Stufen, Lizenz an den Kopfzeilen der Lizenztexte erkannt, Inventar aller Dateien. Nichts davon wird ausgeführt.
Du bekommst die Ampel
Kurzbericht per E-Mail mit Ampel, den wichtigsten Befunden und einer Empfehlung. Willst du den vollständigen Bericht mit Begründung je Befund und Lizenzfolge, sagt die Schmiede, was er kostet.