skilllint — vet an agent skill before you install it
Vet an agent skill before you install it: structure, triggers, secrets.
Installation
Ajoutez ceci à la configuration MCP de votre client (Claude Desktop : claude_desktop_config.json ; Cursor : .cursor/mcp.json ; VS Code et les autres utilisent la même forme « mcpServers »).
claude mcp add --transport http skilllint-vet-an-agent-skill-before-you- 'https://rta.lat/skilllint/mcp'{
"mcpServers": {
"skilllint-vet-an-agent-skill-before-you-": {
"type": "http",
"url": "https://rta.lat/skilllint/mcp"
}
}
}Documentation
Tirée du README du projet sur GitHub, actualisée chaque semaine. Les liens ouvrent GitHub.
Sommaire
skilllint
Private lint of agent skills (SKILL.md). Nothing leaves the machine.
Existing scanners (for example NVIDIA SkillSpector - 71 patterns, AST, YARA, CVE lookup) answer "is this artifact dangerous", and they ship the inspected content to their provider. We do something narrower and complementary:
- privacy - the check runs locally; only a verdict, a score and a hash go out;
- reproducibility - the verdict is bound to a sha256 of the file, so it can be signed and verified later;
- comparison - rank several candidates from different registries instead of scanning one artifact at a time.
Rules
| id | severity | check |
|---|---|---|
| R-001 | critical | frontmatter missing |
| R-002 | high | name missing or invalid |
| R-003 | high | description missing or too long |
| R-004 | medium | no trigger ("when to use") in description |
| R-005 | medium | dead instructions (TODO / deprecated / placeholder) |
| R-006 | critical | secret-shaped literals |
| R-007 | critical | prompt-injection / exfiltration markers |
| R-008 | medium | references to files that do not exist |
| R-009 | low | file larger than 60 KB |
| R-010 | high | world-writable scripts |
| R-011 | medium | unbounded autonomy instructions |
Verdict: PASS (>=80, no critical) | WARN | FAIL (any critical).
Use it
python3 mcp_server.py # stdio
python3 mcp_server.py --http 8191 # streamable http
npx -y mcp-remote https://rta.lat/skilllint/mcp # hostedTools: lint_skill(path) | compare_skills(paths) | lint_rules()
Signed verdicts
lint_skill returns {verdict, score, sha256, findings[]}. That hash is what attest signs and drift enforces as an allowlist - see Verified Tool Registry.
Locales: en, hi. India (Bharata) is supported from day one; legal claims require official sources, otherwise report pending.
License: MIT
Questions fréquentes
Qu'est-ce que skilllint — vet an agent skill before you install it ?
Vet an agent skill before you install it: structure, triggers, secrets.
Comment installer skilllint — vet an agent skill before you install it ?
Il fonctionne comme serveur distant. Dans Claude Code : claude mcp add --transport http skilllint-vet-an-agent-skill-before-you- 'https://rta.lat/skilllint/mcp'. Pour les autres clients, collez la configuration JSON de cette page dans leurs réglages MCP.
Faut-il une clé API pour skilllint — vet an agent skill before you install it ?
Son entrée au registre n'indique aucune clé ni secret obligatoire. Certaines fonctions peuvent tout de même demander un compte auprès du service auquel il se connecte.
skilllint — vet an agent skill before you install it est-il open source ?
Oui. Son code est sur GitHub sous licence MIT.
Qui maintient skilllint — vet an agent skill before you install it ?
Il est publié par mrpkk. AI.tn le référence sans le maintenir ni le recommander.
Issu du registre MCP officiel. Être listé n'est pas une recommandation : vérifiez le code et les permissions d'un serveur avant de lui donner accès à vos données.