一種專門的安全稽核工具，旨在安裝前檢測任何 Skill 中的惡意軟體、提示注入和供應鏈漏洞。
安裝與下載
1. ClawHub CLI
從來源直接安裝技能的最快方式。
npx clawhub@latest install claws-security-scanner
2. 手動安裝
將技能資料夾複製到以下位置之一
~/.openclaw/skills/ <project>/skills/ 優先級：工作區 > 本地 > 內建
3. 提示詞安裝
將此提示詞複製到 OpenClaw 即可自動安裝。
請幫我使用 Clawhub 安裝 claws-security-scanner。如果尚未安裝 Clawhub，請先安裝（npm i -g clawhub）。
想要直接下載？
取得包含原生技能檔案的ZIP壓縮檔。
什麼是 Skill Security Scanner？
Skill Security Scanner 是一款關鍵的防禦工具，旨在保護使用者免受惡意程式碼和受損依賴項的侵害。它充當您 AI 環境的守門人，對 Skill 檔案進行深度檢查，以識別憑證竊取、隱藏的匯出指令和混淆命令等高風險模式。透過使用此工具，您可以在授予系統權限之前驗證各種 Openclaw Skills 的完整性。
此掃描器專為應對現代 AI 特有威脅而設計，包括可能導致未經授權資料存取的提示注入和指令覆蓋。它提供透明的評分系統和詳細的修復建議，使其成為安全開發和部署生命週期中不可或缺的一部分。
Skill Security Scanner 應用場景
- 在首次安裝前稽核第三方 Skill 的惡意程式碼。
- 掃描內部 Skill 目錄以確保符合安全最佳實踐。
- 識別 AI Agent 指令中隱藏的提示注入漏洞。
- 檢測可疑的出站網路呼叫或環境變數轉儲。
- 為建立新 Openclaw Skills 的開發人員在 CI/CD 流水線中進行自動安全門控。
Skill Security Scanner 運作原理
- 使用者透過 CLI 提供 Skill 目錄或清單檔案的檔案路徑。
- 掃描器執行多類別分析，首先從針對可疑 shell 命令和破壞性操作的惡意軟體檢測開始。
- 它評估 AI 指令中的提示注入嘗試，尋找權限繞過或隱藏指令。
- 引擎檢查混淆技術，例如 Base64 編碼或 charcode 技巧，旨在隱藏惡意意圖。
- 透過檢查安裝後指令碼和依賴鎖定來評估供應鏈風險。
- 基於 100 分制計算安全等級 (A-F)，並對已識別的問題進行加權扣分。
Skill Security Scanner 設定指南
您可以直接使用 npx 執行安全掃描器來檢查任何本地 Skill 路徑：
npx @claws-shield/cli scan <path-to-skill>
或者，您可以將掃描器以程式設計方式整合到您自己的 Node.js 自動化工作流中：
node scripts/run-scan.mjs <path-to-skill>
Skill Security Scanner 資料結構與分類體系
Skill Security Scanner 產生結構化報告，幫助使用者評估其 Openclaw Skills 的安全性。輸出包含以下元資料：
| 屬性 | 描述 |
|---|---|
| 安全等級 | 代表整體安全水準的字母等級 (A 到 F)。 |
| 置信度評分 | 指示掃描結果確定性的指標。 |
| 嚴重性細分 | 按影響分類的問題：嚴重 (-30)、高 (-15)、中 (-7) 和低 (-3)。 |
| 建議 | 關於是否可以安全安裝 Skill 的明確指導。 |
| 修復建議 | 關於如何修復已識別漏洞的詳細建議。 |
Skill Security Scanner 進階特性
- 複合關聯規則，可識別跨多個檔案的複雜攻擊模式。
- 針對需要人工監督但並非明確惡意的模式的手動審查標記。
- 檢測供應鏈類別中的拼字劫持和未固定的依賴項。
- 對資料匯出模式進行全面掃描，包括秘密檔案存取和 env 轉儲。
SKILL.md
加載中
Openclaw 相關技能
Agent Gateway
一款用於 Openclaw Skills 的智慧多模型路由 proxy，可在主流 LLM 提供商之間無縫切換，並內建成本優化與故障轉移機制。
精選*
