エージェントスキル・セキュリティセンサス

調査結果 01

監査はインストールの多いスキルに集中し、それ以外にはほぼ届いていない

少なくとも1件の監査が付いたリスティングは9,758件で、センサス全体の12.2%です。このわずかな層が137,238,408件のインストール、つまり集計した全インストールの83.3%を占めています。監査済みリスティングのインストール数の中央値は約1,700件、未監査のものは7件です。監査機関は人気順に優先度を付けているため、多くの利用者は守られる一方で、70,090件のリスティングには公開レビューが1件もありません。ロングテールからインストールするなら、レビューするのはあなた自身です。

1. 1監査でカバーされているインストールの割合83.3%
2. 2一度でも監査されたリスティングの割合12.2%

調査結果 02

監査済みスキルの半数以上にフラグが付いている

監査済みの各リスティングについて最も厳しい判定を見ると、55.7%がMEDIUM以上です。1,346件のリスティングがHIGHまたはCRITICALと判定されており、合計で15,221,597件のインストールがあります。監査済み全体の14.0%にあたる1,366件は、少なくとも1つの監査機関で明確に不合格（fail）となっています。なお、フラグはシェル実行、ブラウザ操作、ネットワーク接続といった能力と検出事項を記録したものであり、悪意があるという判定ではありません。

1. 1LOW（インストール数61,912,695）4,278
2. 2MEDIUM（インストール数59,856,157）4,089
3. 3HIGH（インストール数12,194,885）992
4. 4CRITICAL（インストール数3,026,712）354

調査結果 03

フラグ付きリストには主要ベンダーがすべて含まれる

Microsoftのazure-validateはCRITICAL判定で、インストール数は517,228件です。Vercel Labsのagent-browserはHIGH判定で659,465件、Anthropic自身のskill-creatorもHIGH判定で348,833件あります。いずれもエコシステムで特に高機能なツールで、フラグはその能力、つまりデプロイスクリプト、ブラウザドライバー、シェルランナーを反映しています。azure-validateのフラグはツールがアクセスできる範囲を示すものであり、Microsoftの意図を示すものではありません。このエコシステムのリスクは、公開元が誰であれ、最も便利で最もインストールされているコードに集中しています。

1. 1ByteDance Lark（フラグ付き9件）2,440,132
2. 2Microsoft（フラグ付き14件）1,153,302
3. 3Vercel（フラグ付き24件）731,729
4. 4Anthropic（フラグ付き13件）577,993
5. 5Google（フラグ付き11件）94,343
6. 6OpenAI（フラグ付き12件）50,785

リスティングごとの判定は公開されています。リンク先の各リスティングページで5つの監査機関の結果を確認でき、データセットにはこのセンサスのすべての判定が含まれています。skill-creator（Anthropic、HIGH、インストール数348,833） · pdf（Anthropic、HIGH、インストール数177,212） · playwright-cli（Microsoft、HIGH、インストール数116,690）

調査結果 04

実際のインストールの半数以上はシェルを実行できる

スキルは必要な権限を宣言します。エンリッチメントパイプラインがドキュメントを解析済みの23,541件（カタログの29.5%、全インストールの78.0%）を見ると、それらのインストールの55.7%が、シェル実行を宣言するスキルに集まっています。ネットワークアクセスは55.2%、ファイルシステムアクセスは57.4%です。シェルとネットワークを両方宣言しているリスティングは2,754件あり、コマンドを実行しつつ外部に通信できるコードが51,755,286件インストールされています。センサス全体で見ると、シェル実行が可能なスキルのインストールは少なくとも43.5%です。リスティングの3分の2はまだ解析されていないため、この値は下限です。

1. 1ファイルシステムアクセス（7,618件）57.4%
2. 2シェル実行（4,982件）55.7%
3. 3ネットワークアクセス（5,364件）55.2%
4. 4APIクレデンシャル（1,937件）26.4%
5. 5シークレットの取り扱い（1,263件）8.7%

調査結果 05

死角：シェルを実行でき、一度も監査されていないスキル

監査カバー率と宣言権限を重ね合わせると、シェル実行を宣言する解析済みリスティング4,982件のうち、3,137件（63.0%）はどの監査機関にも監査されていません。これら未レビューのシェル実行可能スキルには15,858,667件のインストールがあり、HIGH・CRITICALフラグ付き全体とほぼ同じ規模です。フラグ付きのコードは少なくとも誰かが読んでいますが、こちらは誰も読んでいません。

調査結果 06

「安全」の基準は監査機関ごとに食い違う

このエコシステムを監査しているのはSocket、Snyk、Gen Agent Trust Hub、ZeroLeaks、Runlayerの5機関です。監査済みリスティングの99.6%は少なくとも2機関の判定を持ち、1件あたりの中央値は5件です。1,233件のリスティング（複数評価があるものの12.7%）では、同じコードに対してある機関がHIGHまたはCRITICAL、別の機関がLOWまたはSAFEと判定しています。不合格率も同じようにばらつき、Snykは697件を不合格としている一方、ZeroLeaksの不合格は0件です。エージェントスキルの監査はまだ若い分野で、基準は収束していません。1つの判定を信頼する前に、2つ目の判定も確認してください。

1. 1Socket（不合格70件）9,728
2. 2Snyk（不合格697件）9,716
3. 3Gen Agent Trust Hub（不合格478件）9,715
4. 4ZeroLeaks（不合格0件）6,857
5. 5Runlayer（不合格371件）5,775

調査方法

調査方法

このセンサスは、2026-08-12に取得したSkillselion本番カタログの完全なダンプです。対象は79,848件のリスティングと累計164,841,042件のインストールで、主にskills.shレジストリの公開データに、GitHubなどの公開ソースを組み合わせています。監査判定は、skills.shレジストリが各リスティングについて公開している監査機関ごとの結果です。各リスティングで最も厳しい判定をそのリスクレベルとして数え、独自の再スコアリングは一切行っていません。インストール数はレジストリのインストールイベント数であり、アクティブユーザー数ではありません。

権限の数値は、各スキルのSKILL.mdとドキュメントから宣言された機能を解析するエンリッチメントパイプラインに基づきます。これまでに解析したのは23,541件で、カタログの29.5%、インストールの78.0%にあたります。このページの権限に関する統計はすべて、この母数を明記しています。注意すべき限界は2つあります。宣言された権限はドキュメントの記載であり、サンドボックスで計測したものではないこと。そして未解析のリスティングがあるため、権限の数値はすべて上限ではなく下限であることです。

すべての版に共通するルール（凍結ルール、ダンプ手順、ファクトチェックの基準、主張しないこと）はSkillselion Researchの調査方法にまとめています。

フラグは、能力と検出事項に関する監査機関の公開判断であり、意図を非難するものではありません。Skillselionは独立したプロジェクトであり、Anthropic、OpenAI、Cursor、Claude、Claude Code、Codex、およびここに挙げたいずれの監査機関とも提携していません。

データ

データセットのダウンロード

センサス全体は79,848行で、1行が1リスティングに対応します。監査機関ごとの判定、最も厳しいリスクレベル、不合格数、宣言された権限、エンリッチメントの対象かどうか、インストール数、パブリッシャーを含みます。CC BY 4.0のもと、クレジット表記があれば自由に利用できます。「Skillselion エージェントスキル・セキュリティセンサス（2026年8月）」と出典を明記し、このページにリンクしてください。

センサスをダウンロード CSV · 79,848行 · gzip圧縮で1.8 MB