Para que servem os scripts
Um script faz sentido dentro de uma skill quando um passo é determinístico e sai melhor em código do que em prosa: interpretar um formato de arquivo, validar uma estrutura, converter entre duas representações. Escrever isso como script em vez de instrução remove a chance de o agente improvisar um procedimento um pouco diferente a cada vez.
A questão de permissão é outra
Existe um campo allowed-tools que aceita uma lista de ferramentas pré-aprovadas separadas por espaço, mas a especificação marca isso como experimental e o suporte varia entre implementações. Não trate como fronteira de segurança. A fronteira é aquilo que o seu agente pede para você aprovar no momento em que quer executar algo.
Por isso vale ler antes de instalar
Como uma skill pode trazer código que o agente executa, uma skill não lida de autor desconhecido é um risco real, não teórico. Olhe scripts/ antes de instalar, prefira skills cuja origem você consegue inspecionar e trate uma skill com mais cuidado do que trataria um arquivo de configuração.