（13910期）skill sec – OpenClaw 技能安全审计与威胁监控

OpenClaw 技能安全审计与威胁监控 自动化安全扫描代理，清点 OpenClaw 技能清单并同步威胁分析至云端仪表盘 使用说明 核心用法 Clawned 是一款专为 OpenClaw 生态设计的被动式安全审计工具，通过本地代理脚本实现三大核心功能： 1. 技能清单盘点（inventory）自动发现本地安装的所有技能，解析其元数据（name/owner/slug/version），为后续安全评估建立资产基线。 2. 本地威胁扫描（scan）对指定技能目录执行静态代码分析，扫描 .md/.py/.js 等源文件中的潜在漏洞模式。该操作需用户显式触发，且明确排除 .env 文件。 3. 仪表盘同步（sync）默认每6小时执行一次的轻量级同步，仅上传技能元数据（无代码内容），在 Clawned 云端生成可视化威胁态势图。 显著优点 最小化数据暴露：同步阶段零代码上传，扫描阶段仅在用户授权下进行，隐私边界清晰 被动式架构：作为只读审计工具，不修改技能代码或配置，零入侵风险 合规友好：明确排除 .env 与凭证文件，符合 secrets management 最佳实践 自动化运维：支持 OpenClaw cron 定时任务，实现持续监控而无需人工介入 潜在缺点与局限性 依赖外部服务：核心分析逻辑位于 Clawned 云端，本地仅作数据采集，离线环境无法使用 扫描深度受限：静态规则匹配难以捕获复杂业务逻辑漏洞或供应链投毒 误报/漏报风险：自动化分析结果需人工复核，不可直接作为安全决策唯一依据 API 密钥管理：CLAWNEDAPIKEY 需妥善保管，泄露可能导致仪表盘数据被篡改 适合人群 管理多技能实例的 OpenClaw 平台管理员 需要合规审计日志的企业安全团队 对第三方技能来源可信度存疑的谨慎用户 常规风险 | 风险项 | 说明 ||--------|------|| 供应链信任 | 扫描结果依赖 Clawned 云端规则库，需信任服务商不滥用上传的元数据 || 密钥泄露 | CLAWNEDAPIKEY 若以明文存储于 openclaw.json，存在配置文件泄露风险 || 网络拦截 | 同步/扫描流量若未加密传输，可能被中间人窃听（虽 https://api.clawned.io 为默认端点） || 权限扩张 | 代理脚本以 python3 执行，若技能目录存在恶意 init.py 被意外导入，存在代码执行风险（建议沙箱运行）| 原始说明 Security agent that inventories installed OpenClaw skills, analyzes them for threats, and syncs results to your Clawned dashboard.