（2622期）Skill Security Review – 技能安装前的七维安全审计闸门

技能安装前的七维安全审计闸门 OpenClaw 技能安装前的强制安全审计工具，检测代码执行、数据泄露、持久化、供应链等7大风险维度，输出 ALLOW/ALLOW WITH GUARDRAILS/REJECT 分级裁决。 使用说明 核心用法 skill-security-review 是 OpenClaw 生态的安全闸门技能，默认拦截所有安装意图，强制执行"先审计、后安装"策略。用户表达安装、导入、启用或信任某个技能的意向时，该技能自动触发，无需额外指令。 审计执行流程 识别制品：区分本地文件夹、.skill 压缩包、Git 仓库、粘贴的 SKILL.md 或脚本包；若为压缩文件，先解压 inspect 枚举攻击面：按优先级检查 SKILL.md 指令、scripts/ 目录、references/ 引用、assets/ 资源、包元数据及安装钩子 七维风险评分： 定向读取：先读 SKILL.md，再检查可执行/自动化文件，最后按需检查配置和大型文件 输出裁决：ALLOW（低风险）/ ALLOW WITH GUARDRAILS（需约束）/ REJECT（隐藏能力或不可接受风险） - 数据访问：读取 secrets、token、聊天记录、浏览器数据、SSH 密钥、云凭证 - 代码执行：shell 调用、PowerShell/cmd/bash/python/node 执行、下载后运行 - 持久化：启动项、计划任务、服务、cron、注册表修改、后台守护进程 - 网络外连：第三方 API、webhook、隐蔽遥测、pastebin、隧道 - 破坏性行为：文件删除、配置重写、安全控制禁用、批量状态篡改 - 权限边界：提权请求、防火墙/Defender 修改、SSH/RDP 暴露 - 供应链风险：运行时拉取远程代码、未固定依赖、混淆 blob、二进制文件 快速触发条件（Escalate Scrutiny） 出现以下任意特征即进入高审查模式： Invoke-WebRequest, curl, wget, irm, iex, Start-Process, powershell -enc Base64 blob、压缩 payload、hex 字符串、eval/exec/动态导入 工作目录外写入、注册表编辑、启动文件夹写入、服务创建 浏览器 cookie/token 访问、.ssh、.env、密码管理器路径、云凭证文件 Discord/webhook 端点、任意 POST 上传、隧道软件 未签名二进制、嵌入式可执行、伪装扩展名 "自动更新"、"自愈"、"回连"、"遥测"等隐蔽同步逻辑 要求模型隐藏行为、规避披露或绕过策略的指令 标准输出格式 | 字段 | 说明 ||------|------|| Target | 被审计技能名称/路径 || Type | folder/.skill/repo/script/agent || Verdict | ALLOW / ALLOW WITH GUARDRAILS / REJECT || Risk Level | Low / Medium / High / Critical || Findings | 功能描述、敏感能力、潜在滥用路径、透明度缺口、必需约束 || Decision | 是否建议安装及理由 | 显著优点 默认安全优先：将"先审计后安装"嵌入工作流，消除用户遗忘安全检查的窗口 结构化风险评估：七维评分体系覆盖从数据泄露到供应链投毒的完整攻击面 可操作输出：不只有"安全/不安全"，而是给出明确的裁决等级和具体约束建议 供应链意识：特别针对运行时下载、未固定依赖、混淆代码等现代 supply-chain 攻击向量 透明度要求：强制要求技能描述与实际代码行为一致，拒绝"隐藏能力" 潜在局限 静态分析边界：无法检测加密 payload、远程动态加载的恶意逻辑或 opaque 二进制中的隐藏行为 置信度依赖：对于复杂依赖树或嵌套引用，审计深度与耗时存在权衡 非沙箱执行：仅为审查工作流，不提供隔离执行环境；最终决策仍基于代码阅读而非运行时监控 规则滞后性：新型混淆技术或零日攻击模式可能未被快速触发条件覆盖 适合人群 OpenClaw 终端用户：任何计划安装第三方技能的个人或企业用户 安全运维人员：需要批量审计内部或外部技能集成的企业安全团队 技能开发者：自检自评，确保发布的技能通过安全审查 零信任架构实践者：在 AI Agent 生态中实施最小权限原则的组织 常规风险 | 风险类别 | 说明 ||----------|------|| 假阴性 | 复杂混淆或加密恶意代码可能通过静态审查 || 用户绕过 | 用户可能忽略 GUARDRAILS 建议，直接确认安装 || 审查疲劳 | 高频安装场景下，用户可能形成"总是点确认"的肌肉记忆 || 供应链递归 | 技能依赖的其他技能或远程资源可能未经同等深度审计 || 权限幻觉 | "ALLOW" 裁决可能被误解为绝对安全，而非"可接受风险" 原始说明 Review and audit OpenClaw skills and agents for data risks, code execution, persistence, network access, privilege escalation, and supply-chain threats befor...