同事丟來好用的 AI 技能包（skill），裝之前先看 3 件事

最近網路上很流行「留言就送 AI 技能包」，同事之間也常丟一包說「這個超好用，裝起來」。技能包可以幫你省很多時間，但它不只是一段文字，裡面也可能有會執行的程式。Claude 官方說明頁寫得很清楚：只從信任的來源安裝，連同事分享的，也要先檢查再啟用。這篇照官方建議，整理成裝之前可以照著看的 3 件事。

技能包（skill）是什麼

技能（英文 skill）是教 AI 做某件事的一包說明。官方的定義是「指令、指令碼和資源的資料夾」，AI 需要的時候會自己載入。簡單的技能只有文字說明，但官方也寫了，可以附上「可執行指令碼」，也就是會真的在電腦或雲端環境裡跑的小程式。

所以裝一個技能包，等於讓 AI 照別人寫的說明書做事，有時候還會跑別人寫的程式。

官方說的風險

Claude 說明中心列出使用技能最大的兩個風險：

• 提示注入：技能裡藏了指示，讓 AI 被操縱去做你沒要它做的事。
• 資料外洩：惡意的程式碼，或被藏進去的指示，把你的資料送出去。

官方也提到，技能可能包含或指示 AI 安裝第三方套件和軟體。

裝之前先看 3 件事

1. 看來源

• 是誰做的？有沒有名有姓、找得到作者？
• 你信不信得過這個來源？官方原文：「重要：僅從受信任的來源安裝技能。」
• 不認識的作者、來路不明的壓縮檔，先別急著裝（白話AI 建議）。

2. 只讀不執行，看內容

• 官方建議先「閱讀技能中包含的檔案內容以了解其功能」。
• 特別留意：程式碼相依性（會不會叫你另外安裝別的套件），以及附帶的圖片、指令碼。
• 只用文字編輯器或預覽打開來看，不要點兩下執行裡面的程式（白話AI 建議）。
• 看不懂就先別裝；公司電腦先問資訊部門（白話AI 建議）。

3. 看有沒有連到外面

• 官方提醒：注意技能裡「指示 Claude 連接到可能不受信任的外部網路來源」的指示或程式碼。
• 看到要它把資料傳到某個網址、或從陌生網站下載東西，就先停下來。

檢查清單（存起來）

• [ ] 作者是誰、來源可不可信
• [ ] 打開每個檔案看過（只讀，不執行）
• [ ] 有沒有附帶程式、要不要另外裝套件
• [ ] 有沒有叫 AI 連到陌生網站、上傳資料
• [ ] 看不懂的地方，問過懂的人或公司資訊部門