Det som gör skills så kraftfulla gör dem också riskabla: en skill kan bära inte bara text utan även körbar kod. När agenten läser in skillen följer den instruktionerna i den som om de vore dess egna och kan köra dess skript. Därför kan rådet i Claudes dokumentation sammanfattas i en mening: se installation av en skill som installation av programvara.
Vad säger de officiella källorna?
Säkerhetsavsnittet i Claudes dokumentation är ganska rakt. Det rekommenderar att du bara använder skills från betrodda källor, alltså sådana du skrivit själv eller fått från Anthropic. Om du måste använda en skill från en okänd källa vill det att du är "ytterst försiktig" och granskar den från början till slut innan du använder den.
Anthropics ingenjörsartikel går i samma riktning: för skills från mindre betrodda källor rekommenderas att du granskar de medföljande filerna, särskilt kodberoenden och skript, och kontrollerar instruktioner som talar om att ansluta till externa nätverk. Dokumentationen understryker också en risk särskilt: skills som hämtar data från externa adresser är farliga, eftersom det hämtade innehållet kan innehålla skadliga instruktioner.
Vad händer i verkligheten?
De här varningarna är inte teoretiska. Säkerhetsbolaget Snyk skannade i sin undersökning "ToxicSkills", publicerad den 5 februari 2026, 3 984 skills från ClawHub och skills.sh. Resultat:
| Fynd | Antal |
|---|---|
| Skannade skills | 3 984 |
| Med minst ett säkerhetsproblem | 1 467 (36,82 procent) |
| Med minst ett kritiskt problem | 534 (13,4 procent) |
| Verifierad skadlig nyttolast | 76 |
Enligt rapporten omfattar data från skills.sh bara de 100 främsta utvalda skillsen på den webbplatsen, medan de fullständiga marknadssiffrorna gäller ClawHub. Bland de attacktyper som sågs finns installationsinstruktioner som lurar användaren att ladda ned och köra opålitlig programvara, dolda kommandon (kamouflerade med Base64 eller Unicode) som skickar inloggningsuppgifter till angriparen, samt försök att stänga av säkerhetskontroller och installera bakdörrar. Hos 91 procent av de verifierat skadliga skillsen användes promptinjektion (prompt injection).
Checklista innan du installerar
En praktisk lista som vi har dragit av rekommendationerna i dokumentationen och fynden från verkligheten:
- Verifiera källan. Vems är förrådet? Ett officiellt företag eller en känd utvecklare, eller en kopia som liknar ett välkänt paket (typosquatting)?
- Läs SKILL.md från början till slut. Formuleringar som "ladda först ned och kör det här", "stäng av säkerhetsinställningen" eller "skicka till den här adressen" är varningstecken.
- Granska mappen scripts/. Om det finns rader du inte kan läsa, som är dolda eller kodade med Base64, ska du inte installera.
- Kontrollera externa länkar. Om skillen hämtar instruktioner eller data från en webbadress, kom ihåg att innehållet kan ändras när som helst.
- Installera det du behöver. Att välja enskilda skills i stället för "installera allt" minskar både kontexten och angreppsytan.
Minsta möjliga behörighet och hemliga nycklar
Var skillen körs spelar också roll. Enligt Claudes dokumentation har skills i miljön för Claude API ingen nätverksåtkomst och kan inte installera paket under körning. På claude.ai kan nätverksåtkomsten vara full, partiell eller avstängd beroende på användar- och administratörsinställningar. I Claude Code har skills lika mycket nätverksåtkomst som vilket program som helst på din dator. En skill du installerar i en lokal agent körs alltså med dina behörigheter.
Därför är principen om minsta möjliga behörighet avgörande. I Claude Code gör fältet allowed-tools i en skills frontmatter att vissa verktyg kan användas utan att fråga om lov när skillen anropas. Enligt dokumentationen nollställs den behörigheten i ditt nästa meddelande. Ändå är det en bra vana att inte installera en skill som någon annan skrivit och som har breda behörigheter utan att medvetet godkänna det.
För hemliga nycklar är regeln enkel: skriv aldrig API-nycklar, lösenord eller åtkomsttokens i SKILL.md eller i skillens mapp. När du delar skillen eller skickar den till ett förråd följer allt i mappen med. Förvara nycklarna i miljövariabler eller i det säkra lagringssättet för inloggningsuppgifter i verktyget du använder, och berätta för skillen bara hur den kommer åt dem.
Per oktober 2026 växer skillekosystemet mycket snabbt, och den tillväxten påminner om säkerhetsproblemen under apparnas första år i appbutikerna. Det goda är att det är mycket lättare att läsa en skill än källkoden till en app, eftersom det mesta är vanlig text.
Öppnar du och läser en skill innan du installerar den, eller litar du på antalet stjärnor och nedladdningar?