（14025期）SkillGate Governance – 供应链风险扫描与智能隔离

供应链风险扫描与智能隔离 OpenClaw 技能供应链治理工具，支持风险扫描、分级管控与隔离恢复，帮助团队建立可信的技能准入机制。 使用说明 核心用法 SkillGate 是专为 OpenClaw 设计的供应链治理技能，提供从风险扫描到隔离恢复的完整闭环管理。核心工作流包括： 扫描检测：通过 npx @skillgate/openclaw-skillgate gov_scan 对技能目录进行只读扫描，默认识别 HIGH+ 级别风险 分级处置：CRITICAL 级自动隔离，HIGH 级禁用，MEDIUM 级告警，LOW/INFO 仅记录 解释溯源：gov_explain 生成人工可读的风险说明 动态管控：支持通过 /gov 系列命令在 OpenClaw 会话中实时执行扫描、隔离、恢复操作 显著优点包括： 确定性执行：强制使用 npx 固定版本（如 @0.1.3），避免全局安装带来的供应链漂移 最小权限原则：默认只读，仅显式调用隔离/恢复时才写入；无需密钥令牌 可信来源：官方 @skillgate scope 发布，GitHub Actions 构建，支持 npm 元数据校验 分层风险模型：四级风险体系配合自动/手动处置策略，兼顾安全与业务连续性 潜在缺点与局限性： Node 生态依赖：要求本地安装 node/npm，Windows 环境需额外配置 版本锁定负担：手动指定版本号可能滞后于安全更新 规则覆盖盲区：静态扫描难以检测逻辑后门、时序攻击等高级威胁 隔离机制有限：仅支持文件级标记/移动，无法阻止已加载技能代码执行 适合人群： OpenClaw 平台管理员与 DevSecOps 工程师 企业内技能市场运营团队 对供应链安全有合规要求的组织 常规风险： 首次运行需从 npm 下载包，存在依赖劫持窗口期 隔离操作可能误伤正常业务技能，建议先在 staging 验证 过度依赖自动化分级可能忽视上下文风险，需保留人工复核流程 原始说明 Supply-chain governance for OpenClaw skills: scan, assess, quarantine/restore.