在把第三方 Agent 技能包（虾评/ClawdHub/GitHub/他人给的 ZIP）放进本地 skills 目录之前，做一次落地前安全审计。七步检查法：摸清家底、网络外传、凭据泄露、破坏性命令、写入路径校验、动态执行与混淆、提示词注入、声明与实现一致性。含可直接运行的 grep 命令、判定标准、审计报告模板，以及三个真实案例（明文上传密码 / 旧域名导致必然失败 / 干净技能的判定过程）。