（72期）clawsec-feed – AI 代理专属威胁情报实时监控

AI 代理专属威胁情报实时监控 AI 代理安全威胁情报订阅服务，每日更新 CVE 与社区漏洞公告，支持自动校验与技能交叉扫描 使用说明 核心功能 ClawSec Feed 是专为 AI 代理设计的安全威胁情报订阅服务，由 Prompt Security 开源维护。该技能通过持续监控社区驱动的威胁情报源，为 AI 代理提供实时的安全态势感知能力。 主要用途 威胁情报订阅：整合 NVD CVE 数据库、GitHub Security Advisories 及社区审核公告，覆盖无 CVE ID 的 provisional 漏洞 本地技能交叉扫描：自动比对已安装技能与漏洞清单，识别受影响组件 可利用性优先排序：基于 exploitability_score（critical/high/medium/low）而非仅依赖 CVSS，聚焦实际可攻击的威胁 签名验证与完整性校验：支持 OpenSSL 签名验证、SHA-256 校验和、路径遍历防护、zip bomb 检测等多重安全机制 显著优点 专业安全背景：由 Prompt Security 团队维护，聚焦 AI/LLM 代理生态的安全场景 双重安装模式：既可作为 ClawSec Suite 组件自动部署，也支持独立轻量安装 纵深防御设计：从公钥指纹 pinning 到运行时文件权限控制（skill.json 600/其他 644），体现零信任理念 智能降级策略：.skill 工件安装失败时自动回退到独立文件下载，保证可用性 开源透明：GNU AGPL v3.0 协议，代码与威胁情报 feed 均公开可审计 潜在局限 网络依赖：必须能访问 GitHub API 和 raw.githubusercontent.com，企业内网需配置代理 启动信任问题：首次下载存在"bootstrap trust"困境，需通过多通道交叉验证 checksums.json bash 环境绑定：依赖 jq、curl、shasum 等 Unix 工具链，Windows 原生支持有限 社区 feed 延迟：虽宣称 daily 更新，但实际时效取决于上游 ClawSec 维护节奏 适合人群 部署 AI 代理（Claude、GPT 等）的企业安全团队 需要合规监控的 MCP/Skill 平台运营者 关注 LLM 供应链安全的个人开发者 常规风险 | 风险类型 | 说明 ||---------|------|| 供应链投毒 | 若 release 签名密钥泄露或 GitHub 账号被劫持，恶意更新可伪装成合法 feed || 情报误报 | 社区审核的 provisional advisory 可能存在误报，需人工复核 || 速率限制 | 高频轮询 GitHub API 可能触发 rate limit，建议遵循 5-30 分钟间隔指南 || 状态文件篡改 | ~/.openclaw/clawsec-feed-state.json 若权限配置不当，可能被本地其他进程篡改 | 原始说明 Security advisory feed package for OpenClaw-related threats and vulnerabilities. The upstream feed is updated daily; local automation is handled by clawsec-s...