資安公司 Snyk 在 2026 年 2 月稽核了兩個公開市集上的 3,984 個 AI Skill，其中 36.82% 至少帶著一項安全問題。第三方 Skill 夾得了可執行腳本，第三方 MCP Server 是別人寫的程式，裝一個等於在自己的工作環境裡多開一條路。這篇給零售品牌主一套可執行的審查判準：裝之前問什麼、誰有權限裝、哪些情況必須拉資安進來、下架之後還要收回什麼。