跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Community Marketing Skill 安全审计

作者说它能做什么（原文）

Build and leverage online communities to drive product growth and brand loyalty. Use when the user wants to create a community strategy, grow a Discord or Slack community, manage a forum or subreddit, build brand advocates, increase word-of-mouth, drive community-led growth, engage users post-signup, or turn customers into evangelists. Trigger phrases: \"build a community,\" \"community strategy,\

第三方安全检查结论

发现安全风险

已检查文件
3
发现的风险
4
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

营销上下文中的机密信息可能进入可分享的策略输出

原文依据：3 处
发现了什么

Skill 自动读取产品营销上下文并用它生成策略文档、欢迎消息、外联模板和审计报告，但没有规定过滤客户信息、未发布计划、内部指标或其他机密内容。

为什么需要注意

如果生成结果被发给社区成员、外部顾问或公开渠道，原本只存在于本地营销文件中的敏感业务或个人信息可能被意外披露。

这段证据能说明什么

技能会读取营销上下文并据此生成多种文档或模板，但源码没有要求逐字复制该文件、发送到外部服务或公开发布输出。敏感信息是否泄露取决于文件内容、用户请求和后续分享方式，现有证据不足以确认风险必然进入输出。用户可要求作者增加敏感字段排除规则，并在任何外联或公开发布前要求确认。

这项判断针对展示的代码和适用条件，不表示风险已经实际发生。
SKILL.md:14来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md`, or the legacy `product-marketing-context.md` filename, in older setups), read it before asking questions. Use that context and only ask for information not already covered.
查看另外 2 个位置
SKILL.md:148来自说明文档打开原文件
- **Community Strategy Doc** — Platform choice, identity definition, core loop, 90-day launch plan- **Channel Architecture** — Recommended channels/categories with purpose and posting guidelines for each- **New Member Journey** — Welcome sequence: pinned post, DM template, first-week prompts- **Community Ritual Calendar** — Weekly/monthly recurring events and threads- **Ambassador Program Brief** — Criteria, benefits, outreach template, tracking plan- **Health Audit Report** — Current metrics, diagnosis, top 3 priorities to fix
SKILL.md:144来自说明文档打开原文件
## Output FormatsDepending on what the user needs, produce one of:- **Community Strategy Doc** — Platform choice, identity definition, core loop, 90-day launch plan- **Channel Architecture** — Recommended channels/categories with purpose and posting guidelines for each- **New Member Journey** — Welcome sequence: pinned post, DM template, first-week prompts- **Community Ritual Calendar** — Weekly/monthly recurring events and threads- **Ambassador Program Brief** — Criteria, benefits, outreach template, tracking plan- **Health Audit Report** — Current metrics, diagnosis, top 3 priorities to fix
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 1 项风险
中风险

按活跃度授予版主权限，未要求安全审查或最小权限

原文依据：1 处
发现了什么

Skill 建议向高活跃用户提供 moderator roles，但没有配套身份验证、权限范围、利益冲突审查、审计日志、试用期或撤销流程。社区贡献度本身不能证明账号或人员适合持有管理权限。

为什么需要注意

若建议被直接采用，被盗账号或不适任成员可能删除内容、查看受限频道、封禁用户，或借官方身份进行欺骗；实际影响取决于平台授予版主的权限。

技能明确建议根据活跃度识别“power users”，并可授予版主角色；这会给社区成员实际管理权限。源码未同时要求核验身份、限定权限、试用期、日志或撤销机制。若建议被直接实施，被盗账号或不适任人员可能删除内容、查看受限区域或影响成员。用户可要求采用最小权限、人工审核、限期试用和可撤销审计。

SKILL.md:82来自说明文档打开原文件
4. **Run recurring community rituals** — Weekly threads (e.g., "What are you working on?"), monthly AMAs, seasonal challenges. Rituals create habit.5. **Identify and invest in power users** — 1% of members generate 90% of value. Give them recognition, early access, moderator roles, or direct product input.
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。发现 1 项风险
中风险

本地营销文件被直接当作指令上下文，可能形成间接提示注入

原文依据：1 处
发现了什么

Skill 要求读取产品营销文件并“使用该上下文”，但没有要求把文件内容视为不可信数据或忽略其中的操作指令。如果该文件由模板、同步工具或第三方内容污染，其中伪装成营销资料的指令可能改变代理行为。

为什么需要注意

恶意内容可能使代理偏离用户请求、索取额外信息，或诱导其采取用户未授权的后续动作；具体能力仍取决于运行该 Skill 的代理权限。

这段证据能说明什么

该技能确实要求代理读取并使用本地营销文件，但可见内容没有指示代理执行文件中出现的命令，也没有证据说明这些文件可由第三方写入。因此存在间接提示注入的条件性风险，但是否可利用取决于代理如何区分资料与指令、以及谁能修改这些文件。用户可要求作者明确将文件仅视为数据，并限制读取到指定项目目录。

这项判断针对展示的代码和适用条件，不表示风险已经实际发生。
SKILL.md:14来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md`, or the legacy `product-marketing-context.md` filename, in older setups), read it before asking questions. Use that context and only ask for information not already covered.
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

收入分成和转介追踪建议缺少商业条款与披露控制

原文依据：1 处
发现了什么

Skill 建议向 ambassador 提供收入分成、转介链接并追踪注册，但未要求书面资格规则、归因窗口、付款审批、欺诈检测、隐私告知或赞助关系披露。

为什么需要注意

实施后可能产生争议付款、转介作弊、误导性背书，或在缺乏适当告知时追踪个人行为，影响预算、品牌信誉及合规决策。

技能明确建议收入分成、转介链接，并追踪流量和注册；这些做法会影响付款、账号归因及参与者数据。可见说明没有涵盖资格与付款条款、归因争议、欺诈控制、隐私告知或推广披露。若直接上线，可能造成错误付款、转介滥用或未披露的商业推广。用户可要求书面规则、审批与反欺诈流程、数据最小化和明确披露。

SKILL.md:88来自说明文档打开原文件
2. **Make the ask personal** — Don't send a generic form. Reach out 1:1 and explain why you chose them specifically.3. **Offer meaningful benefits** — Exclusive access, swag, revenue share, or public recognition — not just "early access to features."4. **Give them tools and content** — Referral links, shareable assets, key talking points, a private Slack channel.5. **Measure and iterate** — Track referral traffic, signups, and engagement driven by advocates. Double down on what works.

Skill 逻辑拆解

8 个说明模块

该 Skill 主要生成社区策略、频道结构、欢迎流程、活动日历、 ambassador 方案或健康审计等建议性材料；所示内容没有要求执行脚本、安装软件或提交账号凭据。

查看原文
SKILL.md:146来自说明文档打开原文件
Depending on what the user needs, produce one of:- **Community Strategy Doc** — Platform choice, identity definition, core loop, 90-day launch plan- **Channel Architecture** — Recommended channels/categories with purpose and posting guidelines for each- **New Member Journey** — Welcome sequence: pinned post, DM template, first-week prompts- **Community Ritual Calendar** — Weekly/monthly recurring events and threads- **Ambassador Program Brief** — Criteria, benefits, outreach template, tracking plan- **Health Audit Report** — Current metrics, diagnosis, top 3 priorities to fix

运行前会查找并读取三个预定名称之一的产品营销文件，然后用其内容减少提问并定制建议。

查看原文
SKILL.md:14来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md`, or the legacy `product-marketing-context.md` filename, in older setups), read it before asking questions. Use that context and only ask for information not already covered.

其社区增长方案包括一对一联系、转介链接、收入分成、行为衡量，以及可能把活跃用户提升为版主。

查看原文
SKILL.md:82来自说明文档打开原文件
4. **Run recurring community rituals** — Weekly threads (e.g., "What are you working on?"), monthly AMAs, seasonal challenges. Rituals create habit.5. **Identify and invest in power users** — 1% of members generate 90% of value. Give them recognition, early access, moderator roles, or direct product input.
SKILL.md:86来自说明文档打开原文件
1. **Identify candidates** — Look for people who already recommend you unprompted. Check reviews, social mentions, community posts.2. **Make the ask personal** — Don't send a generic form. Reach out 1:1 and explain why you chose them specifically.3. **Offer meaningful benefits** — Exclusive access, swag, revenue share, or public recognition — not just "early access to features."4. **Give them tools and content** — Referral links, shareable assets, key talking points, a private Slack channel.5. **Measure and iterate** — Track referral traffic, signups, and engagement driven by advocates. Double down on what works.

`evals/evals.json` 是期望输出和断言的测试材料；例如它描述应给出的建议，并不直接执行联系用户或修改社区权限。

查看原文
evals/evals.json:48来自说明文档打开原文件
      "id": 4,      "prompt": "Design an ambassador program for our community. We have about 5,000 members and a few that always help others. Want to give them more recognition.",      "expected_output": "Should apply the 'Building a Brand Ambassador / Advocate Program' playbook. Should recommend: identify candidates by looking at who already recommends and helps unprompted (check posts, replies, reviews, social mentions), make the ask personal 1:1 and explain why you chose them specifically, offer meaningful benefits beyond 'early access' (exclusive access, swag, revenue share, public recognition, direct product input), give them tools (referral links, shareable assets, talking points, private Slack channel), measure and iterate (track referral traffic, signups, engagement driven by advocates). Should cross-reference referrals skill for structured incentive programs. Should warn against generic forms and impersonal asks.",      "assertions": [        "Identifies candidates from existing helpful behavior",        "Recommends personal 1:1 ask",        "Suggests meaningful benefits beyond early access",        "Mentions tools/assets to enable advocates",        "Includes measurement plan",        "May cross-reference referrals skill"      ],
从这里开始 · 工作说明SKILL.md
community-marketing
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。 另有 1 个章节，可在原文件中查看。

文件引用关系图

2 处引用
哪些文件发起引用引用了什么
连线表示真实的文件引用，不是运行顺序。点击节点可高亮相关连线，并查看具体文件和原文位置。虚线表示还有文件需要定位。
文件与检查记录3 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文
  • references/community-models.md已纳入全文
  • evals/evals.json已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
  • evals/evals.json配套文件
  • references/community-models.md配套文件
读取了多少行
344
文件校验值（用于核对版本）
e737c7c4888d97ad6f4b0cd2409e9571b372830bf0f150130813e03f36983318