---

---

⚡ التثبيت والاستخدام في 60 ثانية

الخيار أ — واجهة برمجة تطبيقات سحابية مجانية (بدون تثبيت)```bash

Scan any SKILL.md with a single curl — no account, no key

curl -s --data-binary @SKILL.md
https://skillsguard.apiskillsguard.workers.dev/scan | jq .

### الخيار ب — البناء من المصدر والربط عالميًا

> **ملاحظة:** SkillsGuard غير منشور حاليًا في سجل npm. ثبّت عن طريق الاستنساخ والبناء من المصدر.```bash
# 1. Clone, install, build, and link
git clone https://github.com/Teycir/SkillsGuard.git
cd SkillsGuard
npm install
npm run build
npm link

# 2. Scan any skill directory or file
skillsguard /path/to/skill

هذا كل شيء. تطبع SkillsGuard نتائج مرمّزة بالألوان في الطرفية (أو --json للـ CI).
رمز الخروج 0 = نظيف · 1 = توجد نتائج · 2 = خطأ في الاستخدام.

هل تريد أن يستدعي Claude الماسح الضوئي تلقائيًا داخل سير عمل وكيلك؟ راجع سير العمل المحلي → المسار B للإعداد الكامل للمهارة + MCP.

---

كيف يعمل```mermaid

flowchart TD A([Folder, file, or Git diff target]) --> B[Load config\nskillsguard.config.json] B --> C[File discovery\nFilter JS, PY, PS1, Docker, Ruby...] C --> D{For each file} D --> E[Raw text scan\nApply 100+ rules] D --> F[decode.ts\nExtract encoded blobs] F --> G[Recursive decode\nbase64, hex, URL] G --> H[Scan decoded content] E & H --> I{Findings?} I -->|no| J([✅ Clean — exit 0]) I -->|yes| K[Deduplicate findings] K --> L[Compute Risk Score\n0 - 100] L --> M{Output mode} M -->|CLI| N[ANSI colored report] M -->|--json| O[JSON output] M -->|--sarif| P[SARIF output] M -->|MCP| Q[MCP response] N & O & P & Q --> R{Risk > max-risk?} R -->|yes| S([❌ Exit 1]) R -->|no| J

style A fill:#0d1117,stroke:#00ff88,color:#c3f5dc
style J fill:#0d1117,stroke:#00ff88,color:#00ff88
style S fill:#0d1117,stroke:#ff4444,color:#ff8888
style G fill:#0d1117,stroke:#f0a500,color:#f0c060
style K fill:#0d1117,stroke:#00ff88,color:#c3f5dc

> **رؤية أساسية:** يقوم SkillsGuard بفك تشفير الحمولات المُخفاة *قبل* الفحص، لذا لا يمكن لصدفة عكسية مغلّفة بـ base64 أن تتسلل. يتم إزالة التكرار من كل نتيجة — كل قاعدة تُفعَّل مرة واحدة كحد أقصى لكل ملف لكل سطر.

---

## جدول المحتويات

- [كيف يقارن SkillsGuard](#how-skillsguard-compares)
- [لماذا SkillsGuard](#why-skillsguard)
- [الميزات](#features)
- [تغطية التهديدات](#threat-coverage)
- [بدء سريع](#quick-start)
- [سير العمل المحلي](#local-workflow)
  - [مثال كامل لـ Kiro CLI](#kiro-cli--complete-example)
  - [مثال واقعي — المراجعة الذاتية للمهارات المثبتة](#real-world-example--self-auditing-installed-skills)
- [استخدام CLI](#cli-usage)
- [وضع Git Diff](#git-diff-mode)
- [ملف الإعدادات](#configuration-file)
- [تقييم المخاطر والبوابات](#risk-scoring--gating)
- [مخرجات SARIF](#sarif-output)
- [قواعد خاصة بالنماذج](#model-specific-rules)
- [مستكشف القواعد والضبط](#rule-explorer--tuning)
- [وضع المراقبة](#watch-mode)
- [سير عمل خط الأساس](#baseline-workflow)
- [خطاف Pre-commit](#pre-commit-hook)
- [خادم MCP](#mcp-server)
- [خادم HTTP](#http-server)
- [واجهة برمجة التطبيقات السحابية (مجانية)](#cloud-api-free)
- [عرض مباشر](#live-demo)
- [واجهة برمجة المكتبة](#library-api)
- [مرجع القواعد](#rules-reference)
- [كشف التشويش](#obfuscation-detection)
- [اختبارات الإعدادات الجاهزة](#test-fixtures)
- [هيكل المشروع](#project-structure)
- [القيود](#limitations)
- [المساهمة](#contributing)
- [الترخيص](#license)
- [الإسناد](#attribution)
- [المشاريع ذات الصلة](#related-projects)
- [دعم التطوير](#support-development)

---

## كيف يقارن SkillsGuard

امتلأت مساحة أمان مهارات الوكلاء بسرعة في عام 2026 — أصدرت NVIDIA وCisco وSnyk وMondoo جميعًا ماسحات ضوئية لهذه المشكلة تحديدًا. من الجدير معرفة المجال قبل اختيار أداة، بما في ذلك هذه الأداة.

### نظرة سريعة

| الأداة | الجهة الداعمة | يتطلب حسابًا/رمزًا | يتطلب استدعاء LLM للفحص الأساسي | نهج الكشف | ميزة إضافية ملحوظة |
|---|---|---|---|---|---|
| **SkillsGuard** | مستقل، MIT | لا | لا | تعبيرات نمطية ثابتة، فك تشفير أولاً (فك تغليف متكرر لـ base64/hex/URL/Unicode) | خطاف pre-commit + وضع git-diff؛ واجهة برمجة تطبيقات curl مجانية |
| **[NVIDIA SkillSpector](https://github.com/NVIDIA/SkillSpector)** | NVIDIA، Apache 2.0 | لا | لا (اختياري، للمرحلة الدلالية) | ثابت + مرور دلالي LLM اختياري | بحث مباشر عن تبعيات CVE عبر OSV.dev |
| **[Cisco AI Defense Skill Scanner](https://github.com/cisco-ai-defense/skill-scanner)** | Cisco | لا | لا (اختياري، للمرحلة الدلالية) | متعدد المحركات: ثابت + تدفق بيانات سلوكي + دلالي LLM + سحابي | سير عمل GitHub Actions مدمج |
| **[Snyk Agent Scan](https://github.com/snyk/agent-scan)** (المعروف سابقًا باسم mcp-scan) | Snyk، تجاري | **نعم** — `SNYK_TOKEN` مطلوب | نعم — قواعد حتمية + حكام LLM مجتمعين | اكتشاف تلقائي عبر Claude/Cursor/Windsurf/Gemini CLI + خوادم MCP | يشغّل فحص المهارات عند التثبيت في Vercel |
| **[SkillScan](https://github.com/NMitchem/SkillScan)** | مستقل | لا | فقط لوضع `predict` (اختياري) | محرك قواعد YAML + تشغيل تجريبي سلوكي LLM اختياري + صندوق رمل Docker اختياري | كشف التنشيط الزمني/المؤجل عبر لعب أدوار LLM |
| **Mondoo Skill Check** | Mondoo، تجاري | لا (طبقة مجانية، غير تجاري) | غير واضح من الوثائق العامة | ثابت، يربط بـ OWASP LLM Top 10 | لوحة معلومات مستضافة + REST API |

**الخيط الأساسي الأهم:** SkillsGuard هو الأداة الوحيدة في هذا الجدول التي لا تحتاج **إلى أي شيء يتجاوز Node ≥18.3** لإجراء فحص كامل — لا حساب، ولا رمز API، ولا نقطة نهاية LLM، ولا استدعاء شبكة. كل منافس آخر مُصان بنشاط إما يتطلب التسجيل في خدمة (Snyk) أو يوصي بإعداد مزود LLM للحصول على تغطية كاملة (NVIDIA, Cisco, SkillScan). هذا يجعل SkillsGuard الخيار الأبسط لبوابة CI أو خطاف pre-commit يجب أن يعمل بالطريقة نفسها، دون اتصال، في كل مرة — والأدوات المعززة بـ LLM خيارًا أفضل عندما تريد مراجعة دلالية/على مستوى النية ولا تمانع في الاعتماد الإضافي.

إنهما ليسا متعارضين. إعداد منطقي: SkillsGuard (أو أي أداة ثابتة بدون اعتماديات) كبوابة CI/pre-commit حتمية وسريعة، مقترنًا بأحد الماسحات المعززة بـ LLM لإجراء مراجعة أعمق لمرة واحدة قبل الثقة في مهارة جديدة حقًا أو ذات صلاحيات عالية.

### أقرب مقارنة: NVIDIA SkillSpector