AIエージェントスキルのエコシステム全体で公開済みの監査結果を集計すると、監査済みはリスティングの12.2%だけで、そこに全インストールの83.3%が集中しています。残りの70,090件には公開レビューが一つもありません。

これは2026年8月12日に公開された調査 Agent Skill Security Census の中心的な結果です。開示: 筆者はこの調査の元になったディレクトリ Skillselion の運営者です。SkillselionはAnthropic、OpenAI、Cursorのいずれとも無関係の独立プロジェクトで、監査自体は行っていません。数字はすべて2026年8月12日時点で凍結されており、ページ上のCSV(CC BY 4.0)から再計算できます。

Claude Codeなどのコーディングエージェントにスキルを入れる前に、この調査の数字をどう読めばよいか。日本語でまとめます。

調査の範囲

対象は79,848件のリスティングと累計164,841,042インストール。skills.sh、GitHub、MCPレジストリから毎日更新されるカタログを、実インストール数でランキングしたものです
監査データは5つの独立プロバイダー(Socket、Snyk、Gen Agent Trust Hub、ZeroLeaks、Runlayer)が公開した41,791件の判定
各リスティングの「最悪の判定」をそのリスクレベルとして数え、調査側での再スコアリングは一切していません

市場規模の分析は姉妹編の Agent Economy Census、更新され続けるライブ集計は The State of AI Agent Skills 2026 にあります。

数字の読み方

監査はインストール数の多いところに集中する。監査済み12.2%(9,758件)が全インストールの83.3%を保持しています。監査済みリスティングのインストール数の中央値は約1,700、未監査の中央値はわずか7です。人気のあるスキルはよく見られていて、ロングテールは誰にも読まれていない、という構図です。

監査済みスキルの半数以上に何らかのフラグが付く。最悪判定ベースで55.7%がMEDIUM以上。HIGHまたはCRITICALは1,346件で、合計15,221,597インストールを抱えています。判定の分布は次の通りです。

最悪判定	リスティング数	インストール数
LOW	4,278	61,912,695
MEDIUM	4,089	59,856,157
HIGH	992	12,194,885
CRITICAL	354	3,026,712

フラグは悪意の告発ではなく、能力と発見事項の記録。シェル実行、ブラウザ操作、ネットワーク到達性といった「何ができるか」を示します。実際、大手ベンダーのスキルにもフラグは付いています。

Microsoftの azure-validate(GitHub)はCRITICAL、517,228インストール
Vercel Labsの agent-browser(GitHub)はHIGH、659,465インストール
Anthropic自身の skill-creator(GitHub)はHIGH、348,833インストール
同じくAnthropicの pdf(GitHub)はHIGH、177,212インストール
Microsoftの playwright-cli(GitHub)はHIGH、116,690インストール

デプロイスクリプトやブラウザドライバーなど、便利なツールほど強い権限を持つため、フラグはその能力を追跡しているに過ぎません。

最大の盲点は「シェル実行を宣言していて、かつ未監査」のスキル。ドキュメントを解析できた23,541件(カタログの29.5%、全インストールの78.0%)のうち、シェル実行を宣言する4,982件の63.0%にあたる3,137件は、どのプロバイダーからも監査されていません。この未監査シェル実行スキル群だけで15,858,667インストール。HIGH/CRITICAL全体とほぼ同じ規模ですが、フラグ付きのコードには少なくともレビューの目が入っているのに対し、この15,858,667インストール分には入っていません。

監査プロバイダー同士の判定は一致しない。複数プロバイダーが評価した集合の12.7%(1,233件)で、同じコードに対して一方がHIGHまたはCRITICAL、他方がLOWまたはSAFEを付けています。不合格数もSnykの697件からZeroLeaksの0件まで大きく開きます。判定は一つでなく二つ読むのが安全です。

なぜ今この調査なのか

2026年8月はエージェントセキュリティの話題が続きました。Black Hat USA 2026では、権限のないGitHub issue経由でClaude CodeとGemini CLIのCIシークレットに到達でき、OpenAIのCodexリポジトリでは次のエージェント実行を乗っ取れる脆弱性が公開されました(The Hacker Newsの記事)。Claude Code側の脆弱性はCVE-2026-54316として採番され、バージョン2.1.163で修正済みです。さらにClaude Code v2.1.228では、claude.aiから同期されたスキルがローカルコマンドを上書きできないようにするなどの強化が入りました(公式CHANGELOG)。

ハーネス側の脆弱性はベンダーの1リリースで直りますが、79,848件のサードパーティスキルに中央からパッチを配る仕組みはありません。だからこそ監査の有無と宣言された権限を、インストール前に自分で確認する価値があります。

インストール前のチェックリスト

リスティングページで監査判定を確認する。監査済みリスティングの99.6%は2プロバイダー以上の判定を持ち、中央値は5判定です。スキル一覧やセキュリティカテゴリから辿れます
宣言された権限を読む。シェルとネットワークを同時に宣言するスキルは2,754件、51,755,286インストールあります。コマンド実行と外部通信の両方ができるコードです
未監査でシェルや権限を要求するスキルは、SKILL.mdと同梱スクリプトを自分で読んでから使う
MCP経由でスキルを動的に読み込む場合も同じ質問を接続先サーバーに向ける。MCPサーバー一覧とガイドが入口になります

データを自分で確認する

全79,848行のデータセット(プロバイダー別判定、最悪リスクレベル、宣言権限、インストール数)は調査ページからCC BY 4.0でダウンロードできます(gzip圧縮で1.8MB)。引用時は「Skillselion Agent Skill Security Census, August 2026」と明記し、ページへリンクしてください。

未監査の70,090件は来週も未監査のままでしょう。あるスキルが監査済み12.2%の側にいるかどうかは、リスティングページを開けば数秒で分かります。インストールの前に、その数秒をかける価値はあります。