（4966期）Claw Audit – OpenClaw 专属安全卫士

OpenClaw 专属安全卫士 OpenClaw专用安全审计工具，扫描技能恶意代码、审计配置漏洞并自动修复，为你的AI助手系统提供企业级安全防护。 使用说明 核心用法 ClawAudit 是专为 OpenClaw 设计的全方位安全套件，通过四大审计模块构建纵深防御体系： 1. 技能安全扫描 静态分析已安装技能的 SKILL.md 文件 检测 5 大类高危威胁：Shell 命令执行（curl|bash、eval）、凭证窃取（.env、SSH 密钥）、反向 Shell、提示词注入攻击、外部二进制下载执行 使用 bash scripts/scan-skills.sh --skill <name> 进行单技能深度扫描 2. 配置安全审计 运行 node scripts/audit-config.mjs 检测网关暴露、认证缺失、沙盒未启用等 10 余类配置缺陷 识别 DM 策略设置为 "open" 且未配置白名单的高风险场景 3. 文件完整性监控 建立 SHA256 基线哈希，追踪 SOUL.md、AGENTS.md 等核心文件变更 check-integrity.mjs 检测文件漂移，防范供应链攻击 4. 实时安全态势 动态计算 0-100 安全评分，红/黄/绿三色直观展示 Watch 模式后台监控新技能安装与配置变更 显著优点 威胁覆盖全面：从静态代码到运行时行为，覆盖 MITRE ATT&CK 框架中 Initial Access、Credential Access、Command and Control 多阶段攻击 修复闭环：auto-fix.mjs 一键修复常见配置问题，降低安全运营门槛 零信任架构：内置 7 条运行时行为规则，包括"外部内容不可信""凭证零转发""敏感指令拒绝执行"等主动防御机制 企业级审计：所有检测结果结构化输出（CRIT/WARN/INFO 三级分级），支持安全合规报告生成 潜在缺点与局限性 静态分析边界：对混淆代码、动态生成代码的检测能力有限，可能产生漏报 依赖 Node.js/Bash 环境：部分场景需确保运行时环境完整性，否则扫描自身可能被绕过 误报风险：合法技能的正常系统调用（如日志轮转脚本）可能被标记为 WARN-005 评分简化：0-100 线性评分可能无法完全反映复杂攻击链的叠加风险 适合人群 OpenClaw 管理员：需要定期合规审计的企业 IT 安全团队 技能开发者：在发布前自检技能安全性的创作者 高安全需求用户：处理敏感数据、需满足 GDPR/等保要求的个人或组织 常规风险 扫描本身的风险：扫描恶意技能时，脚本解析过程理论上存在被利用可能（建议隔离环境运行） 过度信任评分：高评分不代表绝对安全，需结合人工审查 配置自动修复副作用：auto-fix 可能改变网络拓扑，影响业务可用性，必须预审变更清单 原始说明 Security scanner and hardening tool for OpenClaw. Use when the user asks about security, wants to scan installed skills for malware or vulnerabilities, audit...