---
title: "SkillDoctor · Linter und Security-Scanner für"
description: "Linter und Security-Scanner für Agent-Skill-Dateien. Prüft Claude-Code-SKILL.md, AGENTS.md und Subagent-Dateien: 25 Regeln, eine A–F-Note, Erkennung von"
canonical: "https://matthiasmeyer.tech/de/repos/skilldoctor"
language: "de"
last_updated: "2026-08-21"
markdown_versions: ["https://matthiasmeyer.tech/repos/skilldoctor.md", "https://matthiasmeyer.tech/de/repos/skilldoctor.md", "https://matthiasmeyer.tech/es/repos/skilldoctor.md"]
image: "https://matthiasmeyer.tech/api/og/repo/skilldoctor?lang=de"
publisher: "Matthias Meyer, https://matthiasmeyer.tech (llms.txt: https://matthiasmeyer.tech/llms.txt)"
---

security stable TypeScript

# SkillDoctor

Linter und Security-Scanner für Agent-Skill-Dateien

Prüft Claude-Code-SKILL.md, AGENTS.md und Subagent-Dateien: 25 Regeln, eine A–F-Note, Erkennung von Prompt-Injection und Secret-Leaks, --fix, SARIF und eine GitHub-Action. Der CLI-Befehl heißt skilldoctor (das npm-Paket ist gescoped). 91 Tests, MIT, TypeScript.

[Auf GitHub ansehen →](https://github.com/studiomeyer-io/skilldoctor)[npm](https://www.npmjs.com/package/@studiomeyer-io/skilldoctor)

## Welches Problem es löst

Agenten installieren heute Skill- und Anweisungsdateien so, wie Software Pakete installiert, und niemand prüft sie. Eine Skill-Datei ist einfacher Text, den ein Agent als Anweisung behandelt, eine eingeschleuste Zeile darin ist also kein Codegeruch, sondern ein ausgeführter Befehl. Ein eslint dafür gab es nicht.

## Wie es arbeitet

Es liest die Skill-, Agenten- und Unteragenten-Dateien in einem Verzeichnis, meldet Funde mit Zeile und Spalte wie ein Linter und benotet jede Datei. Die Regeln decken zwei Seiten ab: die formalen, etwa einen ungültigen Namen, und die sicherheitsrelevanten, etwa Text in der Form einer Anweisungs-Übersteuerung oder einen ausgehenden Netzaufruf direkt neben Geheimnissen und Umgebungswerten. Es läuft direkt über npx, ohne Installation.

## Wann du es nimmst

Lass es über jedes Skill-Verzeichnis laufen, das du nicht selbst geschrieben hast, und häng es für die eigenen in die CI. Ein Skill, der von außen kommt, verdient dieselbe Prüfung wie eine Abhängigkeit, und das hier ist der billigste Weg, ihm die zu geben.

## Wann du es nicht nimmst

Es liest Text, erkennt also Formen und keine Absicht. Eine sorgfältig formulierte Anweisung, die wie normale Dokumentation aussieht, kommt durch, und ein rechtmäßiger Skill, der zufällig ein Angriffsmuster beschreibt, kann gemeldet werden. Lies die Funde, verriegle nicht blind auf die Note.

Stars

★ 1

installs

↓ 576

Clones (14d)

⊟ 50

Sprache

TypeScript

Aktualisiert

2026-08-21

## Installation

```
npx -y @studiomeyer-io/skilldoctor
```

## Verwandte Repos

- Agent Fleet

    → lintet die Skill-Dateien von

    →

    https://matthiasmeyer.tech/de/repos/agent-fleet

- MCP Armor

    → Static-Scan-Geschwister von

    →

    https://matthiasmeyer.tech/de/repos/mcp-armor

## Sitemap

Alle Seiten dieser Website als Markdown: [Sitemap](https://matthiasmeyer.tech/sitemap.md). Kuratierter Einstieg: [llms.txt](https://matthiasmeyer.tech/llms.txt).