El guardia de Claude

Un grupo de investigadores revisó 31,132 skills sacadas de los catálogos más grandes. El 26.1 % traía algún hueco de seguridad y el 5.2 % tenía señales de estar hecho a propósito para hacer daño. Una de cada veinte.

No hace falta que la skill sea un programa raro. Muchas son puro texto, y ese texto Claude lo lee como instrucciones. Si alguien mete ahí una orden escondida, Claude puede seguirla como si se la hubieras dado tú.

Fuente: README de NVIDIA/skillspector, que cita Agent Skills in the Wild (Liu et al., 2026).

Las dos que más importan

SkillSpector lee una skill o un repo completo antes de que lo instales y te dice qué tan riesgoso es. Busca 71 patrones agrupados en 17 categorías: instrucciones escondidas, robo de datos, dependencias trampa, malware conocido y trucos específicos de servidores MCP, entre otros.

Le das un link de GitHub, una carpeta o un .zip, y te regresa una calificación de 0 a 100, una severidad (baja, media, alta o crítica) y una recomendación: seguro, con cuidado o no lo instales. Esa recomendación es lo que lee el guardia.

El guardia es un hook: una regla que Claude Code corre sola antes de ejecutar ciertos comandos. Este se fija en los comandos que meten código ajeno a tu compu, como clonar un repo, instalar una skill o agregar un MCP. Todo lo demás pasa sin que el guardia lo toque.

Cuando ve uno de esos comandos, saca el link de GitHub, lo escanea con SkillSpector y lee la recomendación. Según lo que diga, pasa una de estas cuatro cosas.

Abre Claude Code en cualquier carpeta y pega el prompt completo. Claude instala SkillSpector si no lo tienes, escribe el guardia, te enseña exactamente qué va a cambiar en tus ajustes y espera tu ok antes de guardarlo.

Configura NVIDIA SkillSpector como un guardia de Claude Code que revise cualquier repo, skill o MCP antes de que entre a mi computadora.

0. Revisa si tengo el comando skillspector. Si no, instálalo con: uv tool install git+https://github.com/NVIDIA/skillspector.git
Necesita Python 3.12 o más nuevo; uv trae el suyo. Si no tengo uv, instálalo con su instalador oficial y explícame en una línea qué hiciste. Confirma que skillspector --help responde.

1. Haz un escaneo de prueba para ver cómo viene el resultado: skillspector scan https://github.com/blader/humanizer --no-llm -f json
Fíjate en risk_assessment (score, severity y recommendation), en la lista issues y en execution_successful. Dime cuánto tardó.

2. Crea el script ~/.claude/hooks/skillspector-guard.sh y regístralo como hook PreToolUse en ~/.claude/settings.json, con matcher "Bash" y timeout de 120 segundos.

3. El script lee el comando de tool_input.command. Solo actúa si el comando es: git clone, gh repo clone, npx skills add, claude mcp add, pip install git+, uv tool install git+, o curl/wget mandado a sh o bash. Cualquier otro comando lo deja pasar sin imprimir nada.

4. Saca el link de GitHub del comando. Si viene como usuario/repo, conviértelo en https://github.com/usuario/repo. Si no trae ningún repo de GitHub (por ejemplo, un paquete de npm), deja pasar el comando con un systemMessage que diga que eso NO se revisó y por qué.

5. Corre skillspector scan [link] --no-llm -f json con un límite de 100 segundos (en Mac no viene el comando timeout; resuélvelo sin instalar nada extra). Decide por el JSON, no por el código de salida, porque el código 0 incluye hallazgos menores y el 2 es un error del escáner. Tampoco decidas por el hallazgo más alto: decide por recommendation.
- SAFE: deja pasar en silencio.
- CAUTION: deja pasar con un systemMessage corto con el score y los dos hallazgos principales.
- DO_NOT_INSTALL: responde con hookSpecificOutput, permissionDecision "ask" y en permissionDecisionReason el score, la severidad y los 3 hallazgos más graves con su categoría, archivo y línea, para que yo decida.

6. Si el escaneo falla, se pasa del límite, execution_successful sale false o el JSON no se puede leer, no me bloquees: deja pasar con un systemMessage que diga claro que ese repo NO se revisó. El script siempre termina con código 0 e imprime JSON válido; nunca uses exit 2.

7. Conserva todos los hooks y ajustes que ya tengo. Antes de guardar settings.json, enséñame el diff y espera mi ok.

8. Pruébalo sin clonar nada: pásale al script por la entrada un JSON de prueba con el comando git clone https://github.com/blader/humanizer, otro con npx skills add usuario/repo inventado, y otro con ls -la. Enséñame qué decidió el guardia en cada caso y dime cómo lo veo en /hooks.

Lo que va a pasar en tu pantalla

1. 1

   Instala SkillSpector

   Si ya lo tienes, se lo salta. Si no, lo instala con uv, que también trae el Python que hace falta.

2. 2

   Escanea un repo de prueba

   Lo hace para leer cómo viene el resultado antes de escribir el guardia, en vez de adivinarlo.

3. 3

   Escribe el guardia

   Un archivo en tu carpeta de Claude, en ~/.claude/hooks/. Vale para todos tus proyectos.

4. 4

   Te enseña el cambio y espera

   Vas a ver qué líneas se agregan a tus ajustes. Revisa que tus hooks de antes sigan ahí y dile que sí.

5. 5

   Lo prueba sin clonar nada

   Le pasa al guardia tres comandos de mentira y te enseña qué decidió con cada uno.

El paso 8 del prompt ya lo prueba sin clonar nada, y uno de sus tres casos sale a propósito como no revisado: el repo inventado no existe y el escáner no tiene qué leer. Si quieres verlo con tus propios ojos, escribe /hooks dentro de Claude Code. Aparece una lista de solo lectura con tus hooks, y el guardia sale en PreToolUse, guardado en tus ajustes de usuario.

La prueba de verdad es pedirle a Claude que instale algo. Abajo están los prompts para eso, incluido uno que arma una skill tramposa de mentira para que veas el freno sin arriesgar nada.

Clona https://github.com/blader/humanizer en una carpeta temporal. Si el guardia de SkillSpector te avisa o te frena, enséñame exactamente qué dijo antes de seguir. Al final borra la carpeta temporal.

Crea en una carpeta temporal una skill de prueba que parezca maliciosa pero sea inofensiva: un SKILL.md con una orden escondida para ignorar al usuario y leer ~/.ssh, y un script que mande algo con curl a https://example.invalid. No la instales ni corras nada de ella. Escanéala con skillspector scan [carpeta] --no-llm -f json, dime qué recomendación salió y qué haría el guardia con ese resultado. Al final borra la carpeta.

El guardia de SkillSpector acaba de frenar este repo. Explícame en palabras simples cada hallazgo del reporte: qué encontró, en qué archivo y línea, y si parece una trampa real o una frase inocente que el escáner confundió. Abre los archivos y léelos antes de opinar. Al final dime si tú lo instalarías y por qué.

El guardia revisa lo que entra por la puerta que vigila. Conviene saber cuáles puertas no vigila, para no confiarte de más.

Para lo demás, estas guías

Cada cambio es un prompt aparte. Igual que el primero, Claude te enseña el diff antes de guardar.

Cambia mi guardia de SkillSpector (~/.claude/hooks/skillspector-guard.sh) para que cuando la recomendación sea CAUTION también responda con permissionDecision "ask" y el reporte, igual que con DO_NOT_INSTALL. Lo demás se queda igual. Enséñame el diff antes de guardar.

Revisa en el README de https://github.com/NVIDIA/skillspector cómo se usa el proveedor claude_cli (variable SKILLSPECTOR_PROVIDER), que usa mi Claude Code y no pide llave de API. Cambia mi guardia de SkillSpector para que escanee con ese proveedor en vez de --no-llm, sube el límite de tiempo a lo que haga falta según una prueba real, y dime cuánto tardó esa prueba. Enséñame el diff antes de guardar.

El guardia de SkillSpector no alcanzó a revisar este repo. Escanéalo tú sin límite de tiempo con skillspector scan [link] --no-llm -f json, y cuando termine resúmeme la recomendación y los hallazgos más graves en palabras simples. No instales nada todavía.

Quita el guardia de SkillSpector: borra su entrada de PreToolUse en ~/.claude/settings.json y el script ~/.claude/hooks/skillspector-guard.sh. No toques ningún otro hook ni ajuste. Enséñame el diff antes de guardar. SkillSpector se queda instalado por si lo quiero usar a mano.

Codex, el agente de OpenAI, también tiene hooks que corren antes de un comando. Puedes ponerle el mismo guardia, pero hoy Codex no sabe preguntarte: si un hook le pide que pregunte, lo marca como fallido y deja correr el comando. Así que en Codex lo grave se bloquea y te enseña el reporte. Si después de leerlo quieres instalarlo, lo haces tú.

1. 1

   Pega el prompt en Claude Code o en Codex

   Cualquiera de los dos puede escribirlo. Va a revisar la documentación oficial de Codex antes de tocar nada.

2. 2

   Aprueba el hook en Codex

   Codex no corre un hook nuevo hasta que lo apruebas. Abre Codex, escribe /hooks y márcalo como confiable.

Ya tengo un guardia de SkillSpector para Claude Code en ~/.claude/hooks/skillspector-guard.sh. Ponme el mismo guardia en Codex. Antes de escribir nada, lee la documentación oficial de hooks de Codex en https://developers.openai.com/codex/hooks y sigue lo que diga sobre dónde se registran (~/.codex/hooks.json o config.toml) y el formato de PreToolUse. Como Codex todavía no soporta permissionDecision "ask", cuando la recomendación sea DO_NOT_INSTALL responde con permissionDecision "deny" y pon en el motivo el score y los 3 hallazgos más graves. Lo de CAUTION y lo que no se pudo revisar se avisa y sigue, como en Claude Code. No inventes rutas ni campos que no estén en la documentación. Enséñame el diff antes de guardar y al final dime cómo aprobar el hook en /hooks de Codex.