別人的技能就是別人的程式：裝之前先看

10 月 19 日 TechCrunch 報導了一件很有趣的事：有人用 Claude Code 把自家智慧電視的廣告、追蹤和預裝軟體清掉，換上一個乾淨的首頁，然後把那段提示詞放上 GitHub。作者說，接下來兩天有幾千個人對自己的電視做了同樣的事。

報導也寫了另一面：這些做法都還在測試，有人提醒 AI 可能停用重要的套件或把東西弄壞，也有人說他用 Claude 把一台 Android 電視弄到開不了機。

我不是要說這件事不好。我想說的是那幾千人做的事：拿一段陌生人寫的文字，交給一個能在自己設備上執行指令的 AI，然後按下執行。一段提示詞，在會動手的 AI 手上，就是一支程式。

你以為你裝的是       它實際能做的事
一段說明文字         讓 AI 用你的權限下指令
一個技能             進到 AI 的腦袋當指示
一個外掛             自己在背景跑程式
                     自己連外面的伺服器
                     背景自動更新成新內容

官方文件的第一句

Claude Code 的外掛安全頁，第一句是：你安裝的外掛可以用你的使用者權限，在你的電腦上執行任意程式。

它接著列出外掛能帶進來的東西。hook 會在特定時間點執行指令；監看程式會在背景自己啟動；MCP 和語言伺服器會在你的電腦上開程序；bin/ 資料夾裡的執行檔會被放進 AI 可以直接呼叫的路徑；技能和代理會進到 AI 的脈絡裡，當成指示影響它的判斷。

有一句很多人沒注意到：你的權限規則和沙箱，管的是 AI 發出的動作，不管外掛自己跑的程式。hook、監看程式、伺服器程序都在沙箱外面，用你的完整權限執行。你為了安全設的那些規則，對它們無效。

還有更新。多數官方市集預設會自動更新，第三方市集預設不會。開了自動更新的，你審過的那份檔案，之後可能在背景被換掉。

這不是只有外掛的問題。9 月有研究者把 5 月 RubyGems 套件庫被灌入數百個惡意套件的事，指向 OpenAI 的代理，其中有些套件試圖偷取別人的 API 金鑰。歸屬到現在還沒有定論，但它提醒的事很清楚：「大家都在用」和「有人審過」是兩回事。

裝之前看三個地方

官方建議的檢查有四步，我濃縮成三個地方。

看來源。市集的名字只告訴你誰發布這份目錄，不告訴你裡面每個外掛做什麼。Anthropic 自己的市集有固定的名字清單，其他一律是第三方，包括你同事做的。

看清單。在 /plugin 選中外掛，會有一欄列出它要裝的指令、代理、技能、hook 和伺服器。但這一欄只告訴你「有一個 hook」，不告訴你那個 hook 執行什麼。

看原始碼裡會執行的那幾個檔案。官方點名三處：hooks/hooks.json（每個 hook 跑什麼指令）、.mcp.json（每個伺服器的指令或網址）、bin/ 裡的每一個檔案。技能本身是文字，但也要讀，因為它會變成 AI 的指示。

審多深，看它裡面有什麼

不是每個外掛都要逐行讀。我是照它帶了什麼東西進來，決定要花多少力氣：

讀的時候看到下面這些，我會直接停下來不裝：從網路下載程式後直接執行（像是把下載內容接給 shell 跑）；讀取 .env、.ssh 這類放金鑰的位置；一大段看不出內容的編碼字串；把資料送到一個跟外掛功能無關的網址；要求 AI 關掉確認或略過權限。

我自己的規則很簡單：公司內部要用的外掛，由一個人審過之後放進自己的私有市集，其他人只從那裡裝。審查的成本只付一次，而且出事時知道是哪一版。

一段網路上抄來的提示詞，道理一樣：讀完它會叫 AI 做什麼，再決定要不要交出去。電視那個案例裡，最該先問的是「做壞了怎麼還原」——報導提到其中一個做法不需要取得最高權限，也能恢復原廠設定，這種退路要先確認，不是做壞了才找。

動手做

裝任何第三方外掛或技能之前，把它的資料夾（或 GitHub 網址）交給 AI 先讀，只讀不執行：

我準備安裝下面這個外掛（或技能、或一段提示詞）。請只閱讀，不要執行任何檔案、不要安裝。
請檢查並用白話回報：
1. 會自己執行的東西：hooks/hooks.json 每個 hook 在什麼時候跑、跑什麼指令；.mcp.json 每個伺服器啟動什麼程式、連到哪個網址；bin/ 裡每個檔案做什麼。
2. 會碰到的範圍：它會讀寫哪些資料夾、會連到哪些外部網址、會不會讀取金鑰或環境變數。
3. 會變成 AI 指示的文字：技能或提示詞裡有沒有要求 AI 略過確認、關閉安全設定、把資料送到外面。
4. 退路：如果裝了出問題，要怎麼移除、怎麼還原。
有任何看不懂或可疑的地方，直接列出檔名和行號。
來源：（貼上資料夾路徑或網址）

在 Claude Code 裡，也可以先把外掛下載到本機，用 claude --plugin-dir <資料夾> plugin details <外掛名稱> 列出它的元件清單，這一步只讀檔、不啟動對話。

做對了的樣子：你裝過的每個第三方外掛，你都說得出它有沒有 hook、hook 跑什麼；第三方市集的自動更新是你自己決定開或不開；你轉貼一段「叫 AI 幫你做某件事」的提示詞給朋友之前，自己先讀過它會叫 AI 做什麼，也知道怎麼還原。

外掛、技能、一段提示詞，在會動手的 AI 手上都是程式，而且是用你的權限跑。你設的權限規則和沙箱管不到外掛自己執行的東西。裝之前看三個地方：來源、清單、會自己執行的那幾個檔案；轉貼提示詞之前，先讀它會叫 AI 做什麼，也先想好做壞了怎麼還原。

站內延伸

• 自己做的技能怎麼發出去 → 技能怎麼發出去
• 技能裝了之後怎麼測 → 技能也要考試
• 網頁和檔案裡藏指令怎麼防 → 找方法Prompt Injection 防護

來源： TechCrunch：People are using AI to make their smart TVs dumb again（2026-10-19；提示詞放上 GitHub、兩天內幾千人照做、仍在測試、有人把電視弄到無法開機、不需取得最高權限且可恢復原廠設定）；Simon Willison：OpenAI agents and RubyGems（2026-09-12；RubyGems 稱數百個套件涉入、部分試圖竊取 API 金鑰、研究者歸屬與 OpenAI 無法證實的回應）；Claude Code：Plugin security and trust（第一句原文、外掛可帶入的元件、權限規則與沙箱不涵蓋外掛自己執行的程式、自動更新會改變已審檔案、市集名稱的意義、四步審查與 plugin details）；Claude Code：Install and manage plugins（安裝前的明細欄、官方市集預設自動更新而第三方預設關閉）。