feature-risk-assessment – 功能风险评估 Skill

Skill 详细介绍

anthropics/claude-for-legal#feature-risk-assessment 是 Anthropic 官方 claude-for-legal 仓库中一个面向法律场景的功能风险评估 Skill。它的核心用途是：在涉及产品功能、数据处理、用户信息、内容合规等场景时，帮助法律与合规相关人员系统性地识别、梳理和评估潜在风险，输出结构化的风险评估意见。

它是什么

• 一个法律合规方向的风险评估 Skill，属于 Anthropic 官方 claude-for-legal 项目下的功能模块。
• 一个以指令、方法论和工作流为核心的 Skill，而不是独立运行的软件。
• 安装后，Agent 会获得一套针对“功能风险评估”的分析框架与输出结构。

它不是什么

• 不是法律意见书生成器，不能替代执业律师的正式法律意见。
• 不是自动化合规审批系统，不会替用户做最终合规决定。
• 不是数据库或监管规则查询工具，不承诺覆盖所有司法辖区的现行法规。

主要解决的问题

• 产品功能上线前，缺少结构化风险识别流程。
• 法律、合规、产品团队之间对风险描述口径不一致。
• 风险评估报告格式散乱，缺少可复用的评估维度。
• 人工评估效率低，容易遗漏常见风险点。

典型任务

• 对某个新功能做初步风险扫描，列出主要风险类别。
• 针对数据收集、用户画像、内容分发、推荐机制等场景，整理风险清单。
• 按风险等级对识别出的问题排序，并给出缓释建议方向。
• 输出结构化的风险评估草稿，供法务或合规团队进一步审阅。

工作方式

该 Skill 本质上是把“功能风险评估”这件事拆成可复用的指令与流程。用户在 Claude 等 Agent 中安装后，用自然语言描述要评估的功能或场景，Skill 会引导 Agent 按照风险识别、分类、分级、缓释建议的结构产出内容。评估结论来自模型基于输入信息的推理，而不是实时查询监管数据库。

适合哪些用户

• 法务、合规、隐私相关岗位人员。
• 需要在上线前做初步风险梳理的产品经理。
• 需要在内部评审前准备风险评估草稿的团队。
• 对 AI 辅助法律与合规工作流感兴趣的开发者。

不适合哪些需求

• 需要具备法律效力的正式法律意见。
• 需要实时、权威、逐条对应具体法条的合规判断。
• 涉及具体司法辖区强制合规申报的场景。
• 需要直接对接监管机构系统或提交合规材料的任务。

与普通 Agent 能力的区别

通用 Agent 也能就风险话题做泛泛讨论。该 Skill 的价值在于提供固定的评估框架、输出结构和关注维度，让结果更接近法律与合规团队日常使用的风险评估文档形态，而不是开放式聊天回复。它并不引入外部数据源，主要改变的是 Agent 在风险任务上的组织方式。

Skill 安全评估

总体判断：该 Skill 来自 Anthropic 官方仓库，来源可信度较高。从功能定位看，它属于法律合规方向的指令与工作流类 Skill，本身不必然要求 Shell、文件写入或网络访问等高风险权限。风险主要来自使用方式和使用场景，而不是 Skill 本身。

一、来源可信度

• 归属 Anthropic 官方 claude-for-legal 仓库，属于官方组织发布的一手资料。
• 相比第三方 fork 或转载版本，官方来源在完整性和更新及时性上更可靠。
• 建议从官方仓库获取，避免使用来源不明的镜像或二次打包版本。

二、权限与行为风险

• 该 Skill 以风险评估问答与文档生成为主，通常不需要执行 Shell 命令。
• 如果 Agent 被授予自动写文件或自动执行命令的权限，需要用户自行评估是否必要。
• 如需最低风险使用，可以关闭 Agent 的自动执行能力，仅让它生成文本内容，由人工复制和使用。

三、信息敏感性

• 风险评估往往涉及产品设计、用户数据、业务模式等敏感信息。
• 把内部敏感信息输入给模型前，建议先确认所在组织对 AI 工具的数据处理政策。
• 避免在评估中输入真实用户身份信息、密钥、凭证等不应外传的内容。

四、输出可靠性

• 模型输出的风险判断属于辅助性质，可能存在遗漏或误判。
• 不应把该 Skill 的输出直接当作最终法律结论使用。
• 关键结论应由具备资质的法律或合规人员复核。

降低风险的建议

• 只在官方来源安装该 Skill。
• 关闭不必要的自动执行权限，采用“生成—人工确认—人工使用”的流程。
• 对输入内容做脱敏处理。
• 对输出做人工复核，不直接作为对外正式文件。

Skill 使用要求

一、Agent / 客户端

• 该 Skill 出自 Anthropic 官方 claude-for-legal 仓库，与 Claude Code 的适配度最高，建议优先在 Claude Code 中使用。
• 官方没有公开完整的第三方 Agent 兼容列表。
• 从 Agent Skill 的一般工作方式看，支持 Skills、自定义 Skill 或类似指令加载机制的 Agent，通常也可以尝试加载，例如 Codex、Cursor、Trae、OpenClaw、WorkBuddy。不同 Agent 的 Skill 加载方式和兼容程度可能不同，具体以对应 Agent 当前版本为准。

二、运行环境 / 依赖

如果官方后续补充了具体环境要求，以官方说明为准。

三、权限

• 文件读取：可选。仅在需要 Agent 读取本地资料参与评估时使用。
• 文件写入：可选。仅在需要生成评估文档并保存到本地时使用。
• Shell：通常不需要。
• 网络：通常不需要由该 Skill 主动发起。
• GitHub：仅在安装阶段可能需要，用于获取 Skill 来源。

四、账号 / API Key

• Skill 本身不要求额外的第三方 API Key 或 Token。
• 是否需要账号取决于所用 Agent，例如 Claude Code 需要相应的账号与访问权限。
• 评估过程中涉及的业务系统凭证，属于用户自身项目范畴，与 Skill 本身无关。

最小使用条件

1. 一个可加载 Skill 的 Agent（优先 Claude Code）。
2. 从官方来源获取的该 Skill。
3. 待评估的功能或场景描述。
4. 如需保存输出，具备文件写入能力。

Skill 安装、使用与卸载教程

一、安装

可以直接复制本页面提供的 Skill 安装指令，粘贴到对应 Agent 或终端中执行。

如果不确定自己的 Agent 如何安装 Skill，可以直接向当前 Agent 提问：

如何安装 anthropics/claude-for-legal#feature-risk-assessment？

如何在 Claude Code 中安装 anthropics/claude-for-legal#feature-risk-assessment？

如何在 Cursor 中安装 anthropics/claude-for-legal#feature-risk-assessment？

让当前 Agent 根据其自身的 Skill 加载与管理机制给出安装方式。不同 Agent 的安装路径和配置方式可能不同，以对应 Agent 的当前说明为准。

二、安装后如何使用

安装后，该 Skill 一般会在涉及功能风险评估、合规审查、风险清单整理等任务时被触发。用户可以主动在提问中指名使用该 Skill。

适合交给它的任务类型：

• 对新功能做初步风险识别。
• 整理某个业务场景的风险清单并分级。
• 生成结构化风险评估草稿。

自然语言使用示例：

使用 feature-risk-assessment，帮我评估一个收集用户位置信息的新功能有哪些主要风险。

使用 feature-risk-assessment，把下面这段产品说明整理成结构化功能风险评估，按风险等级排序。

使用 feature-risk-assessment，针对会员自动续费功能列出合规与用户体验层面的风险点。

三、卸载

不同 Agent 的 Skill 安装位置和管理方式可能不同，如果没有统一卸载命令，直接询问当前 Agent 通常更稳妥：

如何卸载 anthropics/claude-for-legal#feature-risk-assessment？

也可以通过对应 Agent 或 Skill 管理器提供的删除方式，移除对应的 Skill 目录或条目。

常见问题

1. 这个 Skill 能代替律师出正式法律意见吗？

不能。它输出的是结构化的风险分析草稿，用于内部讨论和初步梳理，需要具备资质的法律人员复核后才可作为正式依据。

2. 是否可以同时安装到多个 Agent？

通常可以，只要各 Agent 支持 Skill 加载机制。每个 Agent 需要按自身方式安装，彼此独立。

3. 安装后 Agent 没有识别到 Skill 怎么办？

先确认安装路径和加载机制符合该 Agent 的要求；再检查是否需要重启会话或重新加载。不确定时直接问当前 Agent 为什么没有加载。

4. Skill 更新后需要重新安装吗？

取决于 Agent 和安装方式。如果使用指向仓库的引用方式，通常拉取更新即可；如果是复制到本地目录的方式，可能需要重新同步。以实际安装方式为准。

5. 中国大陆使用是否有网络要求？

该 Skill 本身不依赖特定地区服务。能否使用主要取决于所用 Agent 的可用性和网络环境。

6. 它和通用 Agent 讨论风险话题有什么区别？

通用 Agent 的回答偏开放式。该 Skill 提供固定的评估框架和输出结构，更接近法务与合规团队常用的风险评估文档形态。

7. 是否适合在生产环境中直接使用其输出？

不建议把输出直接用于生产或对外场合。更稳妥的做法是作为初稿，经人工复核和补充后再使用。