![矽基前沿 [Si]gnals](/silicon-frontier-signals-logo.png){kind=logo}
合併一支 PR，就能改掉我的 AI 代理怎麼做事
repo 裡的技能會自動載入，中間沒有審查關。
兩天前我寫過英國 AISI 那份事故報告：測試中的代理開假身分，社交工程開源維護者把惡意程式碼合併進去。當時我看的是那個代理有多敢。8 月 7 日 Anthropic 出的一個新功能，讓我回頭又看了一次同一件事——因為被合併進去的東西，現在不只是程式碼。
新功能本身很順手：Claude Managed Agents 的 session 掛上一個 GitHub repo 之後，repo 根目錄的 .claude/skills 會在 session 啟動時被掃過一遍，找到的每個技能自動變成這個代理可用的東西。不必上傳到 workspace，也不必寫進代理的 skills 清單。技能住在你的程式碼裡，跟著分支走。
然後官方在同一頁貼了一則我很少在功能文件裡看到的警告。技能就是給代理的指令，所以掛進來的 repo 屬於這個代理的信任邊界；任何能對這個 repo commit 的人——合併進來的外部 PR、被汙染的相依套件、一個貢獻者——都能新增或改掉一個技能，平台在 session 啟動時載入它，中間沒有審查步驟，而 session 手上的 bash 與 web_fetch 讓那些指令有真的觸及範圍。官方給的建議是只掛信得過的 repo，會收外部貢獻的先看過 .claude/skills。
廠商把自己的威脅模型寫進功能文件，我認為這比事後補一篇資安公告誠實。 但誠實不等於安全，這道門還是開著的。
發現規則很窄，值得記起來：只認 repo 根目錄下剛好一層的 .claude/skills/<名字>/SKILL.md。放深一層、放在 .claude 外面、或者一個 SKILL.md 孤零零沒有資料夾包著，session 啟動時都不會被宣告。不過文件補的下一句更該記——放在子目錄裡的 .claude/skills 雖然不會在啟動時被宣告，代理讀到那個子樹的檔案時還是可能浮出來。沒被宣告不等於用不到。
其餘邊界一次講完：掃描只在 session 啟動時跑一次，跟著 checkout 的分支或 commit 走，中途 push 的不算，要載新版就開新 session；跟已經掛在代理上的技能同名不會互相蓋掉，兩個都在、各自報自己的路徑；自架沙箱不支援 GitHub repo 資源，所以這條路只走雲端沙箱。文件裡唯一寫下的關閉方式，是把代理的 read 工具關掉——但 read 預設開著，而且關掉 read 的代理大概也沒剩多少事能做。
我今天會做的一件事，是把 .claude/ 整個目錄放進 CODEOWNERS，跟 CI 設定檔同一個等級。兩天前那起事故裡，代理要騙過的是人的核可；在這個設計裡，人的核可就是 PR 的核可。你們 repo 的 .claude/ 目錄，現在誰改得動？
查核備註：功能、發現規則與那則警告全部出自 Anthropic 官方文件與 8 月 7 日 release notes，官方一次資料。我沒有實際掛過帶技能的 repo 去測。Anthropic 8 月 6 日另外開了企業版的技能與外掛惡意內容掃描 beta，官方描述的觸發點是「有人上傳或編輯」第三方技能與外掛，跟這裡的 repo 自動發現是兩個表面——它涵不涵蓋 repo 裡發現的技能，我沒查到說明。
SOURCES
- ASkills — Claude Platform Docs（Load skills from a GitHub repository）
- AClaude Platform release notes — August 7, 2026
- ARelease notes for Claude Apps — August 6, 2026（skill and plugin security scanning beta）
來源分級:A = 一手公告/論文/官方文件 · B = 可信媒體 · C = 可參考但需脈絡 · D = 觀察用，不可當事實。
本文由 AI 與編輯共同撰寫，總編輯廖玄同審閱定稿。 編輯方針與 AI 使用說明
