1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | AI-Infra-Guard |
| 作者/维护者 | 腾讯朱雀实验室（Tencent Zhuque Lab），Tencent 官方 GitHub 组织出品 |
| 来源链接 | https://github.com/Tencent/AI-Infra-Guard |
| 许可证 | Apache-2.0（仓库根目录；skills/ 下四个技能子目录自身 frontmatter 另声明 MIT，两处不完全一致，见第 11 节） |
| GitHub Stars | 4,147（GitHub API 实时数据） |
| Forks | 397（GitHub API 实时数据） |
| 最新版本 | v4.1.15（2026-06-25，GitHub Releases） |
| 安装方式 | Docker 一键部署完整平台；或 pip install aig-skill-scan 独立命令行；或直接把 skills/ 下的技能目录复制进 .claude/skills/ |
项目自述名称与正式名称一致，均为 “AI-Infra-Guard”（简称 A.I.G）。
2. 功能介绍与亮点
AI-Infra-Guard 是腾讯朱雀实验室出品的全栈 AI 红队安全平台，一套代码里打包了五个扫描能力：
- ClawScan（OpenClaw 安全体检）：检查 OpenClaw 部署的配置风险、已知 CVE、隐私泄露面。
- Agent Scan：对 Dify、Coze 等 Agent 工作流做安全测试。
- MCP 服务器与 Agent Skill 信任审计：用 LLM 静态审计 MCP Server 与第三方 Agent Skill 包，对照 SkillTrustBench T01–T09 风险分类体系，官方给出的多 LLM 评测 F1 为 0.9740–0.9848。
- AI 基础设施漏洞扫描：指纹识别 100+ AI 框架组件，比对 1,600–1,900+ 条 CVE。
- 越狱/提示安全评估：用整理好的越狱数据集对 LLM 接口做单轮与多轮红队测试。
最贴近日常使用场景的是 skills/ 目录下的四个正式 Agent Skill（edgeone-skill-scanner、edgeone-clawscan、aig-scanner、aig-agent-redteam），均为标准 SKILL.md 格式，可直接装进 .claude/skills/。其中 edgeone-skill-scanner 专门做“装技能前先体检”：100% 本地静态分析、不执行目标技能代码，能识别 base64 编码提示覆盖、Unicode 隐写、零宽字符、ROT13/十六进制编码指令等隐藏注入手法。
亮点：官方安全实验室出品、Apache-2.0 开源可审计、近半年保持周更发版节奏、有 Black Hat Europe 2025 演讲与技术报告背书。
3. 适用场景
固定分类：安全与合规。
适合两类用户：一是想在安装社区分发的 Agent Skill 或 MCP Server 前先做一次静态安全扫描的 Claude Code / OpenClaw 用户，用 edgeone-skill-scanner 或独立命令行 aig-skill-scan 即可完成，不需要理解攻防细节；二是需要对自建 AI 基础设施（模型服务、Agent 工作流平台、OpenClaw 部署）做系统性漏洞排查和红队评估的安全工程师，适合搭建完整 Docker 平台使用。
4. 跨 Agent 兼容性
| Agent | 结论 | 依据 |
|---|---|---|
| Claude Code | 原生支持 ✅ | edgeone-skill-scanner 等技能明确列出 Claude Code 项目级 .claude/skills/ 与全局 ~/.claude/skills/ 两种发现路径，SKILL.md 格式标准 |
| OpenClaw | 原生支持 ✅ | edgeone-clawscan 是专门为 OpenClaw 环境设计的安全体检技能；edgeone-skill-scanner 兼容表也列出 OpenClaw |
| Codex | 未验证 ❓ | 已抓取材料中的技能兼容表只列出 Claude Code、Cursor、Windsurf、CodeBuddy、OpenClaw、WorkBuddy，未提及 Codex |
| Hermes Agent | 未验证 ❓ | 未在仓库文档中找到相关适配信息 |
5. 推荐理由
对希望在安装社区技能前先做一道安全把关的开发者来说，AI-Infra-Guard 最大的价值不是它的红队平台本身，而是 edgeone-skill-scanner 这个可以直接安装的技能——它做的事情正好是“在你相信一个陌生技能之前，先替你读一遍代码”，能识别人眼很难发现的编码混淆型提示注入。相比个人维护的同类扫描工具，它背后是腾讯朱雀实验室的持续投入（周更版本、公开技术报告与会议演讲），可信度和长期维护预期更高。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 9 | 腾讯官方安全实验室出品（一线机构），GitHub 4,147 stars 且仍在增长，有 Black Hat Europe 2025 演讲与技术报告公开背书 |
| 可用性 | 7 | 单个技能可复制即用、pip install aig-skill-scan 一条命令可跑；但完整平台需 Docker 与自建服务端，配置门槛不低，且有具名用户反馈“AI 基础设施安全扫描”模块的目标字段说明不够清晰（见第 8 节） |
| 安全性 | 8 | 开源可审计、组织信誉高、近期持续维护；edgeone-skill-scanner/aig-agent-redteam 默认不执行目标代码；edgeone-clawscan 默认外发的仅为技能名/来源标签等元数据且可用 AIG_CLOUD_LOOKUP=off 关闭；扣分点：根目录 Apache-2.0 与技能子目录自称 MIT 不一致，且 ClawScan 报告模板内嵌了腾讯云 EdgeOne 产品推广链接 |
安全检查清单：
① Shell 执行：edgeone-clawscan 会调用外部 openclaw security audit --deep 二进制并对本地 Gateway 做网络探测，探测疑似生产环境前需用户确认；edgeone-skill-scanner/aig-agent-redteam 明确不执行目标技能代码，仅用户显式批准时才做动态验证
② 联网外发：edgeone-clawscan 默认向 matrix.tencent.com/clawscan/* 发送技能名、来源标签、OpenClaw 版本号等元数据（可关闭），官方声明不上传技能源码/聊天记录/工作区文件；edgeone-skill-scanner 官方声明零外联、纯本地静态分析
③ API Key/凭据：aig-skill-scan 命令行需自备 LLM_API_KEY；aig-scanner 需配置 AIG_BASE_URL 及可选 AIG_API_KEY；aig-agent-redteam 复用宿主 Agent 自身模型，无需额外凭据；均未见明文硬编码
④ 可疑指令：抓取的 README、CLAUDE.md、AGENTS.md 及四份 SKILL.md 中未发现隐藏的越权指令；aig-agent-redteam 默认将自身排除在红队测试范围之外（有文档说明的设计选择，非隐藏行为）；edgeone-clawscan 报告模板固定包含腾讯云 EdgeOne 产品推广链接，非恶意但属厂商自我推广
⑤ 作者/组织信誉：腾讯朱雀实验室，GitHub 已认证组织账号，公开联系邮箱、社区群与技术报告，信誉高
⑥ License：根目录 Apache-2.0（NOTICE 要求衍生作品注明“Based on Tencent Zhuque Lab AI-Infra-Guard”），但 skills/ 下技能子目录自身声明 MIT，两处表述不一致
⑦ 最近维护：最近一次代码推送为 2026-07-16，v4.1.15 发布于 2026-06-25，保持活跃周更节奏
综合评分：8.0（三维均值）。
7. 跟同类 Skills 相比的优势
| 同类项目 | 定位 | 与 AI-Infra-Guard 的差异 |
|---|---|---|
| sast-skills（utkusen） | 16 个 SKILL.md 组成的纯 LLM 推理 SAST 工具集，把代码复制进 sast-files/ 即可跑 SQLi/XSS/RCE 等 14 类漏洞检测 |
专注“审计自己的代码”，零外部依赖、零配置；不覆盖第三方 Skill/MCP 包本身的信任审计 |
| medusa（Pantheon-Security） | medusa scan --git / medusa secrets scan 命令行，4 万+特征库检测 Claude Code hooks、权限配置与密钥泄露 |
偏“克隆前一次性体检”，AGPL-3.0 许可，无持续红队评估或越狱测试能力 |
| pipelock（luckyPipewrench） | 面向运行时的 MCP/A2A 流量防火墙，拦截数据外发、SSRF 与提示注入并出具签名审计凭证 | 是运行时网关而非安装前的静态审计工具，需要额外部署代理/中间人组件 |
| hol-guard（hashgraph-online） | 自称“AI Agent 防毒软件”，运行时拦截高风险工具调用、密钥访问，覆盖 skills/plugins/MCP | 定位相近，但社区规模（408 stars）与版本发布节奏均明显小于 AI-Infra-Guard |
| ctf-skills（ljagiello） | 面向 CTF 竞赛与漏洞研究的进攻性技能合集，覆盖 Web 渗透、二进制 pwn、密码学、逆向、取证、OSINT | 服务对象是安全研究员做攻防练习，而非普通开发者“装其他技能前先自查” |
8. 用户评价
GitHub Issue #281（“教程不够清晰”）中，用户 shaoyuyoung 反映“AI 基础设施安全扫描”模块的目标输入字段说明不清楚，不确定该填 Web URL、GitHub 地址还是本地部署地址；维护者 aigsec 回复后，用户仍追问 vLLM/PyTorch 这类无 Web 界面的基础组件该怎么填，团队最终答复“目前只支持有 Web URL 的 AI 组件扫描”。该 Issue 在维护者与另一位用户 boy-hack 补充具体操作示例后关闭。
GitHub Issue #204 中，用户 TheDecember 请求增加对 OpenClaw 已知 CVE 的检测；维护者 aigsec 回应“即将推出 OpenClaw 安全体检功能”，后续在 v4.0 中上线。用户 ah-well 更新后反馈：“跳转到别的网页，引导复制链接到 OpenClaw 的聊天窗口安装 skill.md 再输出检测报告内容的，怎么跟 AI-Infra-Guard 的服务做集成呢？”——指出平台与 OpenClaw 侧 skill.md 安装流程之间目前还存在一段手工衔接。
9. 其他补充
项目公开了 Black Hat Europe 2025 会议演讲资料与一份技术报告 PDF；aig-skill-scan 命令行支持输出 SARIF 2.1.0 格式，可直接接入 GitHub Code Scanning。维护团队在仓库内提供 WeChat 交流群与 Discord 社区入口，对 Issue 的响应通常在数天内。
10. 安装使用方式
方式一：单独安装技能扫描器（最贴近日常使用场景）
git clone https://github.com/Tencent/AI-Infra-Guard.git
# 将 skills/edgeone-skill-scanner 复制到项目级或全局技能目录
cp -r AI-Infra-Guard/skills/edgeone-skill-scanner .claude/skills/方式二：独立命令行（无需搭建平台）
pip install aig-skill-scan
export LLM_API_KEY="your-api-key"
aig-skill-scan --repo /path/to/skill -m deepseek-v4-flash -o result.sarif.json方式三：完整红队平台（Docker）
git clone https://github.com/Tencent/AI-Infra-Guard.git
cd AI-Infra-Guard
docker-compose -f docker-compose.images.yml up -d
# 默认访问 http://127.0.0.1:8088安装后注意事项：仅需“审计第三方技能”功能时，方式一或方式二已足够，无需部署完整平台；edgeone-clawscan 默认会联网上报元数据，不希望联网可设置环境变量 AIG_CLOUD_LOOKUP=off。
11. 注意事项
- License 内部不一致：仓库整体 Apache-2.0（NOTICE 要求衍生作品注明出处），但
skills/下技能子目录自身 frontmatter 声明 MIT，二次分发前建议自行核实适用条款。 edgeone-clawscan默认会将技能名称、来源标签及 OpenClaw 版本号等元数据发送至腾讯服务器，官方声明不上传源码/聊天记录/工作区文件，可通过AIG_CLOUD_LOOKUP=off关闭或指向自建服务端。edgeone-clawscan的报告模板中固定嵌有腾讯云 EdgeOne 产品的推广链接。- 完整平台功能（Agent Scan / MCP Scan / AI 基础设施扫描）需要 Docker 与自建服务端，配置门槛高于单纯安装技能目录；已有具名用户反馈该模块目标字段说明不够清晰（见第 8 节）。
- Codex 与 Hermes Agent 的兼容性未在已抓取材料中提及，标记为未验证。