Skill Security Scan — 技能安全扫描

双层安全机制：L1 自动化扫描 + L2 人工审查协议。发现风险时推送信息交给人工复核。

双层安全机制

L1: 自动化扫描

触发时机

命令

退出码

首次运行

检查 scripts/.first_run_done：

• 不存在 → 告知用户 SkillScan 已安装，询问是否扫描所有现有技能
• 存在 → 跳过，正常运行

自动更新

每日自动检查更新，静默执行。手动：scanner.py upgrade

L2: 人工审查协议

当 L1 扫描发现风险（退出码 1 或 2）或用户主动要求时，执行 L2 审查。

Step 1: 来源检查

需要回答的问题：
- [ ] 这个技能来自哪里？
- [ ] 作者是否已知/可信？
- [ ] 有多少下载量/星标？
- [ ] 最后更新时间？
- [ ] 是否有其他代理的评审？

Step 2: 代码审查（强制）

阅读技能中的所有文件，检查以下红旗信号：

🚨 立即拒绝的情况：
─────────────────────────────────────────
✗ curl/wget 到未知 URL
✗ 向外部服务器发送数据
✗ 请求凭证/token/API key
✗ 读取 ~/.ssh, ~/.aws, ~/.config 而无明确理由
✗ 访问 MEMORY.md, USER.md, SOUL.md, IDENTITY.md
✗ 使用 base64 解码
✗ 使用 eval() 或 exec() 处理外部输入
✗ 修改工作区外的系统文件
✗ 安装未列出的包
✗ 网络调用到 IP 而非域名
✗ 混淆代码（压缩、编码、混淆）
✗ 请求提升/sudo 权限
✗ 访问浏览器 cookie/session
✗ 触碰凭证文件
─────────────────────────────────────────

Step 3: 权限范围评估

评估：
- [ ] 需要读取哪些文件？
- [ ] 需要写入哪些文件？
- [ ] 运行哪些命令？
- [ ] 是否需要网络访问？访问哪里？
- [ ] 范围是否对其声明目的最小化？

Step 4: 风险分级

风险推送与人工复核

推送触发条件

推送内容格式

🔒 Skill 安全扫描报告

技能：[name]
来源：[ClawHub / GitHub / other]
作者：[username]
版本：[version]

扫描结果：
- 退出码：[code]
- 风险等级：[🟢 LOW / 🟡 MEDIUM / 🔴 HIGH / ⛔ EXTREME]

发现的问题：
- [问题1]
- [问题2]

建议动作：[安装 / 谨慎安装 / 拒绝安装]

请确认是否继续安装此技能。

人工复核流程

1. 推送扫描报告给用户
2. 等待用户决策
3. 用户决策：
   ├─ 确认安装 → 记录决策，继续安装
   ├─ 拒绝安装 → 删除技能文件，记录原因
   └─ 需要更多信息 → 执行 L2 深度审查，补充报告
4. 记录审查结果到 memory

信任层级

1. 官方 OpenClaw 技能 → 较低审查（仍需审查）
2. 高星仓库（1000+） → 中等审查
3. 已知作者 → 中等审查
4. 新/未知来源 → 最大审查
5. 请求凭证的技能 → 始终需要用户审批

审查报告模板

SKILL SECURITY SCAN REPORT
═══════════════════════════════════════
Skill: [name]
Source: [ClawHub / GitHub / other]
Author: [username]
Version: [version]
───────────────────────────────────────
METRICS:
• Downloads/Stars: [count]
• Last Updated: [date]
• Files Reviewed: [count]
───────────────────────────────────────
RED FLAGS: [None / List them]

PERMISSIONS NEEDED:
• Files: [list or "None"]
• Network: [list or "None"]
• Commands: [list or "None"]
───────────────────────────────────────
RISK LEVEL: [🟢 LOW / 🟡 MEDIUM / 🔴 HIGH / ⛔ EXTREME]

VERDICT: [✅ SAFE TO INSTALL / ⚠️ INSTALL WITH CAUTION / ❌ DO NOT INSTALL]

NOTES: [Any observations]
═══════════════════════════════════════

Quick Vet 命令（GitHub 仓库）

# 检查仓库统计
curl -s "https://api.github.com/repos/OWNER/REPO" | jq '{stars: .stargazers_count, forks: .forks_count, updated: .updated_at}'

# 列出技能文件
curl -s "https://api.github.com/repos/OWNER/REPO/contents/skills/SKILL_NAME" | jq '.[].name'

# 获取并审查 SKILL.md
curl -s "https://raw.githubusercontent.com/OWNER/REPO/main/skills/SKILL_NAME/SKILL.md"

错误处理

降级策略

• 安全扫描失败 → 标记为"未验证"，提示用户手动检查
• 依赖检查失败 → 列出缺失依赖，由用户决定是否继续
• 版本冲突 → 保留原版本，提示用户手动处理

文件结构

skill-security-scan/
├── SKILL.md              # 本文档
└── scripts/
    └── scanner.py        # L1 自动化扫描脚本

版本历史

Paranoia is a feature. 🔒