vendor-ai-review – 供应商 AI 审查 Skill

Skill 详细介绍

anthropics/claude-for-legal#vendor-ai-review 是 Anthropic 官方 claude-for-legal 仓库中的一个法律方向 Skill，名称为 vendor-ai-review。它的核心用途是帮助法律、采购、合规团队对「供应商 AI 工具」进行结构化审查，例如在采购第三方 AI SaaS、AI 助手、AI 数据处理工具时，产出一份可复用的审查意见。

它本身不是一个独立运行的软件，也不是一款 AI 产品。它属于 Anthropic 官方 Skills 体系中的「领域方法论 + 工作流 + 指令集」型 Skill，靠 Agent 加载后按其中的审查框架、检查清单和输出结构来做事。

它主要解决什么问题

• 采购方拿到一个供应商 AI 工具，不清楚应该从哪些角度审查（数据、模型、知识产权、合规、责任划分等）。
• 不同人审查同一个供应商 AI 工具，结论格式和侧重点不一致，难以横向比较。
• 希望审查结果结构统一、可以直接进入法务 / 采购流程，而不需要每次从零起草。

安装后 Agent 增加的能力

• 按该 Skill 定义的框架，对一份供应商 AI 工具信息（产品说明、条款、DPA、隐私政策、模型说明等）进行逐项审查。
• 输出结构化的审查意见，例如风险分级、问题清单、建议追问、需要补充的材料。
• 把零散的供应商文档整理成便于法务 / 采购 / 信息安全团队沟通的审查稿。

它不是什么

• 不是自动化的合规扫描器，不会自己去抓取供应商网站或联网核实事实。
• 不是法律意见的替代品。它是一套让法律人更快、更一致地做审查的辅助框架，最终专业判断仍需由具备资质的法律人员完成。
• 不绑定任何特定司法辖区。具体适用法律、监管要求需要结合所在地区自行判断。

典型任务

• 审查供应商 AI 工具的数据使用条款，标出数据用于训练、二次共享、跨境传输等敏感点。
• 审查供应商 AI 工具的隐私政策与 DPA，梳理数据主体权利、留存期限、子处理方。
• 审查模型来源、模型训练数据声明、输出内容的责任归属。
• 把上述内容整理成一份结构化审查意见，供采购决策或合同谈判使用。

适合的用户

• 企业法务、合规、隐私团队。
• 采购 / 供应商管理部门中负责 AI 工具准入的人员。
• 需要向内部风险委员会提交 AI 供应商评估结论的团队。

不太适合的需求

• 希望 Agent 自动联网对比多个供应商并给出最终采购建议。
• 希望直接产出法律意见书或正式法律文书。
• 与 AI 供应商审查无关的一般合同审查、诉讼支持等任务。

需要注意的是，该 Skill 属于 claude-for-legal 仓库，官方定位偏专业法律场景。它提供的是一套结构化审查方法，而不是自动执行的合规软件。

Skill 安全评估

总体判断：该 Skill 来自 Anthropic 官方仓库，来源可信度较高；它主要是方法论文本 + 审查框架，本身不携带可执行程序，正常使用情况下风险可控。风险主要来自「你把什么材料交给 Agent」以及「Agent 所在环境本身的权限」。

一、来源可信度

• 属于 Anthropic 官方 claude-for-legal 仓库，属于一手官方来源。
• 相比第三方同名 Skill 或 fork 版本，官方来源在完整性和可追溯性上更可靠。
• 使用前建议只从官方仓库获取，不要使用来源不明的镜像或转发布版本。

二、是否执行代码

• 该 Skill 的定位是法律审查框架与方法论，通常不需要执行 Shell 命令，也不需要联网。
• 它一般以文本指令的形式被 Agent 加载，属于「提示词 / 工作流」型 Skill。
• 如果发现使用过程中被要求执行不明命令，应视为异常，先停下核对。

三、文件读写

• 审查过程通常需要读取你提供的供应商文档，可能包括合同、隐私政策、DPA 等。
• 这类文档往往包含商业机密、个人信息或未公开条款。
• 关键点：文档是否会被上传到你所在环境之外，取决于你使用的 Agent 和模型配置，而不是 Skill 本身。

四、敏感信息与保密

• 不要把客户身份信息、未脱敏的个人信息、未签署的保密协议原文直接交给 Agent，除非你已确认该环境符合所在机构的保密与合规要求。
• 对外提供的供应商文档建议先做必要的脱敏处理，再用于 AI 审查。
• 审查结论本身也可能属于敏感内部材料，注意保存与流转方式。

五、Prompt Injection 风险

• 你交给 Agent 的供应商文档，可能包含对 Agent 的诱导性文字。
• 该 Skill 的输出是辅助审查意见，不是最终法律结论，因此即便被诱导，通常不会直接产生不可逆的操作。
• 建议把供应商文档当作「待审查对象」而不是「指令来源」，并在结论阶段人工复核。

六、Agent 环境权限

• 如果 Agent 同时开启了 Shell、文件写入、联网等权限，这些权限来自 Agent 配置，不来自该 Skill。
• 如果只需要做文本审查，可以关闭不必要的自动执行与联网权限，风险会更低。
• 不要把该 Skill 与「自动执行外部命令」的工作流混在一起使用。

七、实操建议

• 优先在受控的、符合机构合规要求的环境中运行。
• 敏感文档先脱敏，再交给 Agent。
• 审查结果作为草稿使用，最终判断由具备资质的法律人员完成。
• 不要使用第三方转载、改写的同名版本，避免内容被篡改。

Skill 使用要求

一、Agent / 客户端

• 该 Skill 来自 Anthropic 官方 claude-for-legal 仓库，与 Claude Code 适配度最高，优先在 Claude Code 中使用。
• 官方没有公布完整的第三方 Agent 兼容列表。从 Agent Skill 加载机制来看，在支持 Skills、自定义 Skill 或类似指令加载方式的环境中，也可以尝试在 Codex、Cursor、Trae、OpenClaw、WorkBuddy 等主流 AI Agent 里使用。
• 不同 Agent 对 Skill 的识别、触发、权限处理方式不同，具体以对应 Agent 当前版本的官方说明为准。

二、运行环境 / 依赖

三、权限

• 文件读取：可选。当你把供应商文档交给 Agent 时才会用到。
• 文件写入：可选。只有需要把审查结果落盘时才需要。
• Shell：非必需。该 Skill 的定位是审查框架，不依赖执行命令。
• 网络：非必需。联网一般由 Agent 决定，与 Skill 本身无关。

四、账号 / API Key

• Skill 本身不要求额外的账号或 API Key。
• 你使用的 Agent（例如 Claude Code）可能需要对应的账号与凭证。
• Skill 不额外要求 GitHub Token、OAuth、环境变量等。

最小使用条件

1. 一个能加载 Skill 的 Agent（优先 Claude Code）。
2. 一份供应商 AI 工具的相关材料（条款、隐私政策、DPA、模型说明等）。
3. 一个合法的使用环境，满足所在机构的保密与合规要求。

Skill 安装、使用与卸载教程

一、安装

LemonAIKit 本页已经提供该 Skill 的安装指令，可以直接复制本页面的安装指令，粘贴到你使用的 Agent 或终端执行。

如果你不确定自己的 Agent 该如何安装，可以直接向当前 Agent 提问，让 Agent 按自己的 Skill 加载机制来指导：

如何安装 anthropics/claude-for-legal#vendor-ai-review？

如何在 Claude Code 中安装 anthropics/claude-for-legal#vendor-ai-review？

如何在 Cursor 中安装 anthropics/claude-for-legal#vendor-ai-review？

如果某些 Agent 对 claude-for-legal 仓库结构支持不完整，也可以把该 Skill 的目录按对应 Agent 的 Skill 目录约定放入本地，再由 Agent 加载。

二、安装后如何使用

安装完成后，通常在你提出「审查供应商 AI 工具」「审查供应商条款」「评估某 AI SaaS 的合规风险」之类任务时，Agent 会调用该 Skill。也可以用明确指令触发。

建议在提问时同时提供：

• 供应商名称与产品类型（例如「AI 写作 SaaS」「面向客服的对话 AI」）。
• 你手上的材料（条款、隐私政策、DPA、模型说明等）。
• 你所在地区及需要重点关注的合规方向。
• 希望输出的形式（问题清单、风险分级、审查意见稿等）。

自然语言示例：

使用 vendor-ai-review，帮我审查这份供应商 AI 工具的隐私政策和数据处理条款，标出与数据训练、跨境传输、再共享相关的高风险点。

使用 vendor-ai-review，对比这两家 AI SaaS 供应商在数据使用和责任划分上的条款差异，输出结构化审查清单。

使用 vendor-ai-review，把这份供应商 AI 工具条款整理成一份可供法务和采购会签的审查意见草稿。

三、卸载

不同 Agent 的 Skill 安装位置和管理方式不同，通常没有统一卸载命令。可以优先采用以下方式：

• 在对应 Agent 的 Skill 管理界面中删除该 Skill。
• 或直接删除本地对应的 Skill 目录。
• 如果不确定，可以询问当前 Agent：

如何卸载 anthropics/claude-for-legal#vendor-ai-review？

删除后建议确认 Skill 目录已移除，避免残留配置继续被加载。

常见问题

1. 这个 Skill 和普通的法律问答有什么区别？

普通法律问答是 Agent 用自己的通用知识回答；这个 Skill 提供的是一套固定的供应商 AI 审查框架、检查维度和输出结构，让不同人、不同次审查的结论更一致，更适合放进实际的采购 / 合规流程。

2. 它可以自动抓取供应商网站资料吗？

不是它的职责。它偏向「给定材料 → 结构化审查」。如果要联网抓取，需要由 Agent 的浏览 / 抓取能力来做，和这个 Skill 是两件事。

3. 输出的结论能直接作为法律意见使用吗？

不建议。它输出的是审查草稿和问题清单，适合加速法务工作，但最终法律判断需要由具备资质的法律人员做出。

4. 中国大陆环境使用是否有额外网络要求？

该 Skill 本身不要求联网，网络要求来自你使用的 Agent 和模型服务。是否能稳定访问对应模型服务，需要按你所在环境的实际情况判断。

5. 是否可以同时装到多个 Agent 里？

通常可以，只要对应 Agent 支持 Skill 加载机制。多个 Agent 各装一份互不影响，但要注意版本一致性，避免不同 Agent 上跑的是不同版本的 Skill。

6. 安装后 Agent 没识别到这个 Skill 怎么办？

常见原因是目录位置不符合该 Agent 的约定，或 Agent 尚未开启 Skill 加载。可以先确认目录结构是否正确，再让 Agent 自行检查加载状态，或直接提问「为什么没有识别到 anthropics/claude-for-legal#vendor-ai-review？」。

7. Skill 更新后需要重新安装吗？

取决于你使用的 Agent 是否支持自动同步。如果是从官方仓库重新拉取，一般需要重新拉取或覆盖安装；如果 Agent 自带更新机制，按该 Agent 的说明操作即可。

8. 交给它审查的文档会泄露吗？

Skill 本身不做上传动作，真正决定数据去向的是你使用的 Agent 与模型服务的隐私与数据处理策略。处理包含敏感信息的文档前，建议先确认所在环境是否满足机构的保密与合规要求，必要时先脱敏。