一款全面的安全稽核工具，旨在安裝前識別代理人技能中的惡意模式、提示詞注入和供應鏈風險。
安裝與下載
1. ClawHub CLI
從來源直接安裝技能的最快方式。
npx clawhub@latest install skill-security-audit-2
2. 手動安裝
將技能資料夾複製到以下位置之一
~/.openclaw/skills/ <project>/skills/ 優先級：工作區 > 本地 > 內建
3. 提示詞安裝
將此提示詞複製到 OpenClaw 即可自動安裝。
請幫我使用 Clawhub 安裝 skill-security-audit-2。如果尚未安裝 Clawhub，請先安裝（npm i -g clawhub）。
想要直接下載？
取得包含原生技能檔案的ZIP壓縮檔。
什麼是 ClawHub 技能安全稽核？
ClawHub 技能安全稽核是一款專為 Openclaw 技能生態系統設計的專業安全工具。它透過執行自動化靜態分析並輔助結構化專家評審，為評估第三方技能的安全狀況提供了一個強大的框架。該技能專門針對偵測提示詞注入、惡意腳本模式和數據外洩風險等複雜威脅而設計，確保您的 AI 代理人環境不受供應鏈攻擊的侵害。
透過將自動掃描與對 SKILL.md 文件和腳本行為的深度分析相結合，它提供了一種多層防禦機制。無論您是審查社群貢獻的開發者，還是管理內部代理人能力的企業管理員，此工具都能為您提供必要的情報資訊，以便針對 Openclaw 技能做出明智的安裝決策。
ClawHub 技能安全稽核 應用場景
- 在在地安裝前評估來自 ClawHub 的新技能安全性。
- 偵測試圖繞過代理人安全指南的隱藏提示詞注入指令。
- 識別技能腳本中混淆的程式碼、未經授權的網路調用或敏感文件系統存取。
- 使用 SHA-256 文件雜湊驗證下載包的完整性。
- 評估涉及複雜自動化工作流的 Openclaw 技能風險等級。
ClawHub 技能安全稽核 運作原理
- 用戶透過在地目錄路徑、ClawHub 標識符或完整 URL 提供目標。
- 如果在地不存在，自動掃描器將從 ClawHub API 獲取技能元數據和下載包。
- 靜態分析引擎根據 60 多個已知的惡意指標（包括行為和結構模式）掃描技能內容。
- 系統提示對 SKILL.md 文件進行專家評審，以偵測語義陷阱、隱藏的 Unicode 字元或社交工程嘗試。
- 分析所有腳本和依賴項的網路行為、持久性機制以及對 SSH 金鑰或環境變數等敏感位置的存取。
- 生成最終的安全評估報告，分配從「安全」到「危急」的風險等級，並提供具體的安裝建議。
ClawHub 技能安全稽核 設定指南
此技能需要 Python 3 並使用標準函式庫進行核心操作。掃描器組件不需要外部 Node.js 依賴。使用以下命令開始稽核 Openclaw 技能：
# 掃描已位於磁碟上的技能
python3 scripts/scan_skill.py <target-skill-directory>
# 使用標識符直接從 ClawHub 掃描技能
python3 scripts/scan_skill.py --slug <skill-slug>
# 掃描特定版本的技能
python3 scripts/scan_skill.py --slug <skill-slug> --version <version-number>
ClawHub 技能安全稽核 資料結構與分類體系
該技能生成結構化的 JSON 安全報告，並維護威脅知識庫供參考。數據組織如下：
| 組件 | 描述 |
|---|---|
| scan_metadata | 包含稽核時間戳記、工具版本和評估的目標路徑。 |
| summary | 按嚴重程度（危急、高、中、低）分類的調查結果高層統計。 |
| findings | 詳細條目，包括特定文件、行號、匹配的惡意文本和修復建議。 |
| file_inventory | Openclaw 技能包中所有文件的完整列表，及其對應的 SHA-256 雜湊值，用於完整性校驗。 |
| threat_knowledge_base | 詳細列出已知攻擊向量（如 ClawHavoc 活動）的參考 Markdown 文件。 |
ClawHub 技能安全稽核 進階特性
- 直接整合 ClawHub API，實現遠端技能的無縫下載和掃描。
- 自動臨時目錄管理，在稽核完成後清理提取的技能文件。
- 針對 60 多種威脅指標（包括 RCE 鏈和反彈 shell）的全面模式匹配。
- 版本特定掃描，追蹤 Openclaw 技能不同發行版之間的安全變化。
- 支援偵測高級混淆技術，如零寬字元和 Base64 編碼的有效負載。
SKILL.md
加載中
Openclaw 相關技能
精選*
