skyll

以下为依据公开代码 / 声明自动扫描的结果，每条均可追溯到具体文件与片段。

• P2 提示待定待定

  原始匹配（技术人员可核对）

  仓库元数据 JSON 无源码：{"description":"A tool for autonomous agents like OpenClaw to discover and learn skills autonomously","homepage":"https://skyll.app","topics":["claude-skill","mcp","skills"]}；元数据仅含 API 

• P2 提示待定待定

  原始匹配（技术人员可核对）

  仅有 "has_issues":true,"has_pull_requests":true,"permissions":{"pull":true,"push":false} 等仓库权限字段，属 GitHub API 对当前访问者的权限回传，非工具自身账号访问代码；contents_url/pulls_url 等模板 URL 存在但无调用代码

• P2 提示待定待定

  原始匹配（技术人员可核对）

  描述称 "discover and learn skills autonomously"，"size":320,"language":"Python" 但未提供任何 .py/SKILL.md 文件内容，无法确认是否写入磁盘、写入路径与是否覆盖既有文件

• P2 提示待定待定

  原始匹配（技术人员可核对）

  无源码可查（工具内容仅为 GitHub 仓库元数据 JSON，含 clone_url/ssh_url 等 clone 入口）；"archive_url"、"tarball" 类下载入口的存在不能证明会自动执行，故无法判定是否存在 subprocess/os.system/exec

• P2 提示待定待定

  原始匹配（技术人员可核对）

  无源码可查；仅见 "ssh_url":"git@github.com:assafelovic/skyll.git" 为仓库自身克隆地址，不构成凭据读取证据

• P2 提示待定待定

  原始匹配（技术人员可核对）

  无源码可查；仅有 "homepage":"https://skyll.app" 与 API 端点模板，无出站请求体、无 POST 代码证据

• P2 提示待定待定

  原始匹配（技术人员可核对）

  "permissions":{"push":false,"admin":false,"maintain":false} 表示当前 JSON 上下文无写权限；"pull_request_creation_policy":"all" 为仓库设置而非工具行为证据

• P2 提示待定待定

  原始匹配（技术人员可核对）

  无源码可查；元数据中无 puppeteer/playwright/selenium 依赖或相关字段，无法判定

• P2 提示待定待定

  原始匹配（技术人员可核对）

  "topics":["mcp","claude-skill"] 仅表明主题标签，无 mcp.json/工具清单/HTTP 客户端代码可核实其是否作为 MCP client 连接外部 server

以下为来源平台/仓库的公开元数据。

当前规则下未发现明显风险信号，可参考使用；仍建议保持常规更新与最小权限原则。