Skills для Claude: где брать и как не установить вредоносный скилл

Коротко (TL;DR)

Skill в Claude Code — это папка с файлом-инструкцией SKILL.md, которую агент выполняет с вашими правами на файлы, шелл и переменные окружения. Поэтому вопрос «где скачать Skills для Claude Code» — это ровно тот же вопрос доверия, что и «откуда ставить npm-пакет». Источник имеет значение.

Что важно понять за минуту:

• Официальный маркетплейс Anthropic снижает риск, но не обнуляет его — Anthropic прямо пишет, что не проводит security-аудит сторонних MCP-серверов внутри плагинов.
• Сторонние площадки различаются по модерации радикально: от «автоматический аудит каждого скилла до публикации» до «никакой проверки». Ниже — таблица шести реестров.
• Половина того, что пишут в рунете, — путаница. Context7 — это не маркетплейс Skills, а MCP-сервер документации. «Trust Score» — не отраслевой стандарт, а фича одной конкретной площадки. ClawHub — вообще не про Claude Code.
• Зелёный бейдж автосканера — не гарантия. Исследование SkillCloak (июль 2026) показало, что обфускация обходит существующие сканеры более чем в 90% случаев.
• Между площадкой и вами всегда должен стоять ручной чек-лист — прочитать SKILL.md целиком занимает пять минут, а модель сама подозрительный код ловит не всегда.

Дальше — карта площадок, разбор реальных CVE и датированных инцидентов, модель угроз в четырёх паттернах и практический чек-лист аудита. Это не гайд по установке (механика — тема отдельная), а ответ на вопрос: где брать и как не поймать вредонос.

Где брать Skills: карта площадок

Единой картины «какой маркетплейс скиллов чем отличается» в выдаче нет — везде свалено в кучу под словом «marketplace». Разложим по уровню модерации, потому что именно он определяет ваш риск. Данные — на 12 июля 2026, по факту открытия каждой площадки.

SpaceX · xStockSpaceX — частная компания. Торгуй её токеном на Bybit за крипту.Торговать SpaceX →

Практический вывод из таблицы. Официальный claude-plugins-official — это два уровня проверки: автоматический security-скрининг проходят все заявки в каталог, а бейдж «Anthropic Verified» получают только те, что прошли дополнительное человеческое ревью. Рядом Anthropic держит отдельный community-каталог (claude-plugins-community) — сторонние плагины, прошедшие автоматическую валидацию и safety-скрининг и зафиксированные на конкретном commit SHA. Это легитимный полу-официальный канал между «своим» каталогом и диким рынком: проверка есть, но авторы внешние. Оба варианта заметно лучше, чем случайный репозиторий. Но и здесь есть предел: Anthropic в официальной документации по безопасности прямо заявляет, что не контролирует, какие MCP-серверы, файлы и стороннее ПО включены в плагины, и не может гарантировать, что они работают как заявлено или не изменятся. Формулировка про MCP ещё жёстче — компания «не проводит security-аудит и не управляет никаким MCP-сервером». То есть официальный маркетплейс плагинов Claude Code отвечает за витрину, но не за начинку каждого стороннего компонента.

Web for Agents: как дать ИИ-агенту браузер, поиск, почту и хостинг

Как подключить Figma к Claude Code через MCP-сервер

Claude в Excel, PowerPoint и Word: создание файлов и надстройки Office — что выбрать

Крипторынок 3–9 августа: $1,1 млрд в фонды и погашения у BlackRock

Криптография в блокчейне ничего не шифрует — и именно поэтому она работает

Skills, Plugins и MCP: в чём их путают

Прежде чем говорить о рисках, надо развести три вещи, которые в русскоязычных (да и англоязычных) гайдах постоянно смешивают. Из-за этого читатель ищет «безопасный маркетплейс» не там, где нужно.

Context7 — это не источник Skills. Если вы гуглите «context7 claude code для чего» и попадаете в список «где брать скиллы», вас ввели в заблуждение. Context7 от Upstash — это отдельный MCP-сервер документации: он подтягивает в промпт актуальные доки библиотек, чтобы Claude не галлюцинировал устаревшие API. Инструменты у него resolve-library-id и query-docs, он бесплатный и open-source. К каталогу скиллов он отношения не имеет — просто живёт в той же экосистеме MCP, поэтому и упоминается рядом.

«Trust Score» — это не отраслевой стандарт. Запрос «trust score claude skills» подразумевает, будто есть единая шкала доверия для скиллов. Её нет. «Trust Score» как явный термин — фича конкретного реестра OpenAgentSkill (openagentskill.com), и считается он по набору метрик: популярность, свежесть обновлений, ясность лицензии, качество документации, риск зависимостей и рантайма, безопасность установки, объём запрашиваемых прав. Это полезная эвристика гигиены проекта, но не аудит кода на вредоносность. Ни у skills.sh, ни у официального каталога Anthropic никакого «Trust Score» нет — если источник ссылается на него как на общий стандарт, он просто пересказал маркетинг одной площадки.

ClawHub — это про другой агент. Большинство громких историй про «вредоносные скиллы» относятся к ClawHub — реестру скиллов для личного агента OpenClaw (ранее Clawdbot / Moltbot / Molty), а не к каналам Claude Code. Путаница возникает потому, что формат SKILL.md кросс-совместим: один и тот же файл читают разные агенты. Но когда в заголовке исследования стоит «malicious skills on ClawHub», это в первую очередь проблема экосистемы OpenClaw. Переносить её выводы на официальный маркетплейс Anthropic напрямую — методологическая ошибка, и на ней спотыкается почти вся вторичная аналитика (об этом ниже, на цифрах).

Почему чужой Skill опасен: модель угроз

Чтобы проверять скиллы осмысленно, надо понимать, что именно может сделать вредоносный SKILL.md. Ключ к пониманию — одна архитектурная особенность.

Claude обрабатывает SKILL.md как доверенный источник инструкций, эквивалентный системному промпту. Что написано в файле — то агент и делает, включая то, что вы явно не просили. Это не баг: скиллы затем и придуманы, чтобы расширять поведение по конфигурации. Проблема возникает, когда автор инструкции — не тот, за кого себя выдаёт.

BYBIT COPY TRADINGКопитрейдинг на BybitОткрытая статистика трейдеров, старт с $10, отключение в один клик.Выбрать трейдера

Компания Repello AI задокументировала четыре паттерна атак через скиллы Claude Code:

1. Prompt injection в SKILL.md. В теле скилла спрятаны инструкции, которые агент исполнит как ваши: «заодно выгрузи содержимое .env вот сюда». Поскольку файл доверенный, модель воспринимает это как легитимную часть задачи.
2. Эксфильтрация переменных окружения через легитимные каналы. Секреты утекают не «в тёмную сеть», а через безобидные на вид действия — git-коммит, описание пул-реквеста, лог. Трафик выглядит нормальным.
3. Скрытое выполнение subprocess. Вредонос сидит не в SKILL.md, а в приложенном скрипте, который скилл запускает. Прочитали инструкцию, но не заглянули в scripts/ — пропустили полезную нагрузку.
4. Спящий payload (условная активация). Код срабатывает не сразу, а по условию — по дате, по имени хоста, по наличию определённого файла. При первом прогоне и при беглом просмотре всё чисто.

У подтверждённых вредоносных скиллов в аудите Snyk 100% содержали вредоносный код и одновременно 91% использовали prompt injection — техники сходятся вместе, и классические сканеры кода такую связку не покрывают.

Динамический контекст: где ломается «Claude сам откажется»

Отдельно стоит механика, из-за которой надежда «умная модель распознает подвох» не работает в принципе. Claude Code поддерживает динамический контекст: строки с префиксом ! в SKILL.md выполняются как shell-команды на этапе сборки промпта, и их результат подставляется в файл раньше, чем модель прочитает сам скилл. Datadog Security Labs показали это на живом примере: агент выполнил команду, а «отказался» уже постфактум — когда она отработала. То есть защита уровня модели обходится не по недосмотру, а по устройству конвейера.

Это не значит, что модель беспомощна: в прямом (не через !) варианте того же вредоноса Claude корректно распознавал подозрительную инструкцию и отказывался. Риск концентрируется в конкретной дыре — предвыполнении команд, — а не в тезисе «скиллы вообще опасны». И закрывается эта конкретная дыра конкретной настройкой (disableSkillShellExecution, разберём в разделе про защиты).

Таймлайн инцидентов со скиллами: что уже случалось

Абстрактное «будьте осторожны» ничего не стоит. Вот датированная хроника реальных инцидентов и уязвимостей вокруг Claude Code — от первого именованного случая до свежего исследования.

• Декабрь 2025 — ransomware через модифицированный скилл. По данным TechTimes со ссылкой на исследователя Cato Networks Ингу Черни, модифицированный skill-плагин Claude Code мог скачать и запустить вымогатель MedusaLocker — достаточно было вставить одну на вид безобидную функцию в легитимное расширение. Самый ранний из именованных инцидентов; источник единственный, поэтому берём его как атрибутированную демонстрацию, а не как многократно подтверждённый факт.
• Февраль 2026 — два CVE от Check Point Research. CVE-2025-59536 (CVSS 8.7, High): удалённое выполнение кода до подтверждения диалога доверия (в том числе через Hooks в настройках репозитория) — код запускался раньше, чем пользователь мог этот диалог прочитать. CVE-2026-21852: кража API-ключа через переопределение переменной окружения — трафик с полным заголовком авторизации перенаправлялся на сервер атакующего до подтверждения доверия. Оба Anthropic исправила до публичного раскрытия. (Заметьте: darkreading опубликовал номер как «CVE-2025-59356» — это опечатка с перестановкой цифр; верный номер по первоисточнику Check Point и подтверждению CSO Online — CVE-2025-59536.)
• 5 февраля 2026 — аудит Snyk ToxicSkills. Первое комплексное исследование экосистемы: просканировано 3984 скилла. Детали и важная оговорка про выборку — в следующем разделе.
• 5 мая 2026 — Mitiga MCP token theft. Вредоносный npm-пакет с post-install-хуком переписывал ~/.claude.json, перенаправляя аутентифицированный MCP-трафик Claude Code на инфраструктуру атакующего и перехватывая OAuth-токены (Jira, Confluence, GitHub). Mitiga сообщила Anthropic 10 апреля; 12 апреля компания ответила, что проблема «вне скоупа» (атака требует, чтобы жертва сама согласилась установить пакет). На момент публикации разбора CSO Online патча не было — статус с тех пор мог измениться, проверяйте по первоисточнику.
• 11 мая 2026 — Clawsights. Datadog Security Labs нашли и разобрали живой вредоносный скилл, маскирующийся под лидерборд использования Claude Code. Он крал GitHub-токен командой gh auth token и отправлял на clawsights[.]com, а модель обходил через тот самый динамический контекст.
• Июль 2026 — SkillCloak. Исследование (arXiv 2607.02357) показало, что обфускация вредоносных инструкций обходит сканеры. Подробности — ниже.

Общая картина: часть проблем — это исправленные Anthropic уязвимости самого инструмента, часть — вредоносные скиллы из сторонних каналов, прежде всего ClawHub. Официальный маркетплейс в этой хронике не фигурирует как источник живого вредоноса — но и полностью стерильной зоной ни один канал назвать нельзя.

Сколько на самом деле вредоносных Skills — и почему цифры врут

Здесь — главный information gain, ради которого стоит читать именно этот разбор. Вокруг статистики Snyk выросла системная ошибка, которую тиражируют десятки вторичных материалов.

Сами числа известны и по ним обычно и пугают: аудит Snyk ToxicSkills (5 февраля 2026) прошёл по выборке из 3984 скиллов и насчитал 534 из них (13,4%) с критической проблемой безопасности, 1467 (36,82%) — хотя бы с одним дефектом любой тяжести и 76 — с подтверждённым вредоносным payload’ом, восемь из которых на момент публикации всё ещё были живы на ClawHub. Но интереснее не сами проценты, а откуда они берутся — и вот здесь начинается то, что вторичные пересказы почти всегда теряют. Выборка 3984 — это преимущественно ClawHub, реестр OpenClaw. В том же исследовании Snyk отдельно прогнал топ-100 skills.sh — и там оказалось 0% вредоносного кода и 0% prompt injection. Для сравнения, по всему корпусу ClawHub вредоносный код встречался в 5,3%, подозрительные загрузки — в 10,9%. Перенос заголовочных 13,4% / 36,82% на «экосистему Skills целиком», включая skills.sh, — фактическая ошибка смешения выборок. Топ skills.sh в этом исследовании чист; проблема концентрируется в другом реестре.

Это не значит, что skills.sh безопасен весь: топ-100 — это верхушка, а длинный хвост каталога никто не сканировал. Но это значит, что нельзя пугать читателя цифрой «13% скиллов вредоносны» и вешать её на официальные и полу-официальные каналы.

Полезно и сравнение с независимым измерением. Открытый сканер NVIDIA SkillSpector (68 паттернов уязвимостей в 17 категориях) на своей выборке дал 26,1% скиллов с уязвимостями и 5,2% с признаками вредоносного намерения. Цифры другого порядка, чем у Snyk, — но это не противоречие: разные корпуса и разные критерии («уязвимость» против «критическая проблема» против «вредоносное намерение»). Оба измерения согласуются в направлении: проблемных скиллов — десятки процентов, заведомо вредоносных — единицы процентов. И оба показывают, почему чужой скилл нельзя ставить не глядя.

Почему бейдж автосканера — не гарантия

Логичная мысль: раз есть площадки с автоматическим аудитом (тот же Skill Store сканирует каждый скилл до публикации), можно довериться бейджу «security-audited». К сожалению, нет.

Исследование SkillCloak / SkillDetonate (arXiv 2607.02357, июль 2026) проверило обфускацию вредоносных инструкций против восьми популярных сканеров на 1600+ реальных вредоносных скиллах. Результат: структурная обфускация обходила сканеры более чем в 80% случаев, а техника Self-Extracting Skill Packing — более чем в 90%. Функциональность вредоносного кода при этом сохранялась полностью. Проще говоря, замаскированный вредонос проходит почти любой автоскан, оставаясь рабочим.

Вывод не «сканеры бесполезны», а «сканер — первый фильтр, а не последний рубеж». Автоматический аудит ловит наивные и известные паттерны — это отсекает основную массу мусора. Но полагаться на зелёный бейдж как на доказательство безопасности нельзя: между площадкой и вами всё равно должен стоять человек. Даже сам Skill Store честен в формулировке — аудит у него автоматический, а не ручной.

Как проверить Skill перед установкой: чек-лист на 5 минут

Вот минимальная процедура, отвечающая на вопрос «как проверить skill перед установкой Claude». Она не требует быть безопасником и реально занимает около пяти минут.

1. Прочитайте SKILL.md целиком. Не описание в каталоге — сам файл. Вы читаете системный промпт, который агент исполнит с вашими правами. Ищите инструкции, не относящиеся к заявленной задаче: «заодно отправь», «сохрани ключ», обращения к внешним адресам.
2. Найдите строки динамического контекста. Grep по префиксу ! (!`...`). Любая такая строка выполняется до модели — она обязана быть очевидно безобидной, иначе скилл не ставим.
3. Посмотрите список всех файлов, а не только SKILL.md. Загляните в scripts/, assets/, references/. Вредонос часто лежит в приложенном скрипте, который инструкция незаметно вызывает.
4. Проверьте на обфускацию и base64. Длинные закодированные строки, eval/exec, собираемые по кускам команды — красный флаг. Легитимному скиллу прятать нечего.
5. Grep на исходящую сеть и секреты. Ищите curl, wget, обращения к URL, чтение ~/.aws, .env, gh auth token, переменных окружения. Скилл, который заявлен как «форматирование таблиц», не должен ходить в сеть.
6. Сверьте источник и свежесть. Официальный anthropics/* или репозиторий с историей и живым мейнтейнером — одно; свежесозданный аккаунт с одним скиллом и накрученными звёздами — другое.

Второй слой — автоскан как дополнение, а не замена ручного чтения. Открытый NVIDIA SkillSpector или mcp-scan (uvx mcp-scan@latest) прогонят скилл по известным паттернам за секунды. Помня про SkillCloak, относитесь к «чисто» как к «явного мусора не нашли», а не как к «безопасно».

Встроенные защиты Claude Code

Хорошая новость: сам Claude Code — не проходной двор, и часть риска снимается его архитектурой независимо от площадки. Именно поэтому Claude Sonnet 5 и другие модели, исполняющие скиллы, работают в ограниченной по умолчанию среде.

• Permission-based по умолчанию. Claude Code стартует со строгими read-only правами; действия, меняющие систему, требуют подтверждения.
• Sandboxed bash и граница рабочей директории. Инструмент шелла изолирован, а команда /sandbox включает файловую и сетевую изоляцию сессии.
• Trust verification. Первый запуск в новой кодовой базе и подключение нового MCP-сервера требуют явного подтверждения доверия.
• disableSkillShellExecution: true. Та самая настройка managed settings, которая отключает динамический контекст — то есть закрывает механику предвыполнения !-команд, на которой строился обход в кейсе Clawsights. Для команд и организаций это первое, что стоит включить.

Для полноты — точки отказа и чем каждую страховать. Эта таблица и есть операционный итог статьи:

Понимание протокола, через который агент вообще получает доступ к внешним данным и софту, помогает оценивать риск: как именно работает протокол MCP и чем он отличается от простого доступа к файлам — отдельная большая тема, но без неё модель угроз неполна.

Риски: что именно вы доверяете скиллу и кому это критично

Стоит трезво назвать ставку. Устанавливая чужой скилл, вы доверяете ему три вещи, каждая из которых — потенциальная точка потери.

• Доступ к секретам. Токены и ключи в окружении — API-ключи, GitHub- и OAuth-токены — то, за чем охотятся почти все разобранные выше инциденты (Clawsights крал GitHub-токен, Mitiga перехватывал OAuth). Скомпрометированный токен — это доступ к вашим репозиториям и сервисам, а не «просто утекший файл».
• Необратимые действия. Агент с правами на запись может отправить письмо, открыть пул-реквест, удалить или зашифровать файлы (кейс MedusaLocker — именно про шифрование). Отменить это, в отличие от смены пароля, нельзя.
• Приватность данных в цепочке. Всё, что проходит через агента — код, документы, содержимое репозитория, — может утечь через легитимный на вид канал вывода.

Кому это критично в первую очередь: командам с общими репозиториями (проектные скиллы в .claude/skills/ разъезжаются по всем через git pull), тем, у кого в окружении лежат production-секреты, и тем, кто даёт агенту права на запись и сеть без подтверждений. Для одиночной песочницы без ценных ключей ставка ниже — но привычку читать код это не отменяет.

Баланс важен: риск концентрируется в конкретных архитектурных дырах (предвыполнение динамического контекста, обход автосканеров) и в сторонних непроверенных реестрах, а не в тезисе «скиллы вообще опасны». Официальные каналы, встроенные права по умолчанию и пятиминутный аудит закрывают основную массу угроз — при условии, что вы их применяете.

FAQ

Официальный маркетплейс Anthropic делает Skills безопасными? Он снижает риск двумя уровнями проверки — автоскрининг всех заявок плюс бейдж «Anthropic Verified» после человеческого ревью. Но Anthropic сама пишет, что не аудирует и не контролирует сторонние MCP-серверы и файлы внутри плагинов. «Официальный» здесь значит «отобранный», а не «гарантированно чистый в каждой строке».

Что делать, если уже установил скилл из непроверенного каталога? Удалите его из соответствующей папки (~/.claude/skills/ или .claude/skills/ проекта), проверьте ~/.claude.json на посторонние MCP-эндпойнты и ротируйте секреты, к которым у агента был доступ, — API-ключи, GitHub- и OAuth-токены. Инциденты Clawsights и Mitiga показывают, что цель атаки обычно именно токены.

Нужно ли проверять Skills, если я ставлю только из anthropics/skills? Риск минимальный, и для официальных документ-скиллов полный аудит каждый раз избыточен. Но привычку читать SKILL.md стоит сохранить: как только вы выходите за официальный репозиторий — на skills.sh, в awesome-списки, тем более на ClawHub, — чтение файла становится обязательным.

Отключение disableSkillShellExecution не сломает полезные скиллы? Оно отключает только предвыполнение shell-команд через ! в динамическом контексте — механику, которой пользуются немногие легитимные скиллы и почти все, кто хочет обойти модель. Обычные скиллы (инструкция плюс скрипты, вызываемые уже по ходу задачи с вашего подтверждения) продолжат работать.

Достаточно ли одного автосканера вроде mcp-scan? Нет. Автоскан ловит известные и наивные паттерны, но обфускация обходит сканеры более чем в 90% случаев (SkillCloak). Считайте «чисто» результатом «явного мусора не нашли». Решение о доверии принимает человек после чтения кода, а сканер — лишь первый быстрый фильтр.