智能体生态跑得比它的信任基建快——这是一项覆盖 2999 个智能体技能仓库的审计给出的判断。四个本该有的治理工件，多数公开仓库一个都不齐：82% 没有安全披露渠道，46% 的 MCP 依赖未锁版本，61.8% 的工具不标安全提示，26.1% 的社区技能含有已知漏洞。整个生态里散落着 336285 份 SKILL.md，而这次样本明显偏新——2512 个仓库是今年新建，中位数只有 4 颗星。
审计 2999 个仓库：信任赤字
四个数字拆开看，每一档都指向同一类缺失。82% 的仓库没有 SECURITY.md 这类安全披露渠道，意味着即便有人发现漏洞，也常常无处可报；46% 的 MCP 依赖未锁版本，等于把供应链的钥匙交给「永远拉最新」；61.8% 的工具不为自身标安全提示，代理无从区分一次调用是只读还是会改写；26.1% 的社区技能直接含有已知漏洞，是已经踩在雷上的部分。样本偏 2026 的现实也提醒我们：今天涌进来的大多是小而新的仓库，治理工件本就更稀疏，但恰恰是这批零件正被源源不断装进生产智能体。
智能体的运行时供应链
把镜头拉远，技能与 MCP 是智能体的「零件供货商」。一份 SKILL.md 就能让智能体按需加载一项能力，本地跑起来的 MCP 服务则暴露一组工具供它调用，二者叠加，生产里的智能体依赖就迅速膨胀——每多接一个 agent，就多一份风险，而这条链路上几乎没有栅栏。每次拉一个未锁版本的 npm 包，都是依赖劫持的入口；61.8% 的 MCP 服务不为工具标安全提示，代理只能靠猜来判断权限。生态跑得比信任基建快，是结构性落差，不是几个坏仓库的偶然。
该有的工件，多数没有
落到具体工件，缺口很清楚。安全披露渠道：连 100 颗星以上的仓库都有 75.6% 缺 SECURITY.md，更别说长尾；许可与版本锁定：32.7% 的仓库没有许可证，46% 的依赖未锁版本，可复现成了一句空话；工具安全提示：readOnly 这类提示仅 22.7% 完全标出，代理只能猜权限。治理建议很朴素却关键——把审批记录、版本锁、安全提示变成强制项，工具清单的变更要进入审查，新工具默认禁用直到被放行。信任基建补不上，智能体规模越大，单点失守越致命。
头条视角：先把信任基建补上
把这次审计放回本轮的图景——它与 Opsin 的「行为即安全对象」、代码智能体的「审查成瓶颈」是同一个缺口的三面：生态在疯狂扩张，而能让人放心用的工件与流程没跟上。这篇不指向某个具体厂商的失责，而是给所有正在拼智能体能力的团队一记提醒：规模越大，越不能把信任寄托在「大家应该都还好」上。也要清醒：2999 是个样本而非全量，样本偏新会放大缺口观感；小仓库刻意不写 SECURITY.md 也属常态，不能一概而论为失职。但方向明确——技能与 MCP 的准入，该从零门槛走向「带工件才放行」。
目前官方及行业暂未披露更多细节，包括 2999 个仓库的完整分类口径、各漏洞类别的逐项占比与长尾仓库的治理可行路径，后续将持续跟进迭代动态。这篇把「智能体供应链信任赤字」从零散担忧推进成了可对照的四项硬指标。