EdgeOne ClawScan 是一款由腾讯朱雀实验室推出的 OpenClaw 安全扫描工具，专为检测 OpenClaw 环境中的安全风险而设计。它如同 AI 系统的‘杀毒软件’，能够对 OpenClaw 的配置、已安装技能以及潜在漏洞进行全面体检。该工具通过本地审计与云端威胁情报相结合的方式，帮助用户快速识别配置风险、供应链安全问题及已知漏洞，从而提升整体系统安全性。其核心优势在于兼顾隐私保护与高效检测，既支持离线纯本地扫描，也允许在授权环境下调用云端 API 获取最新安全情报。 ClawScan 的设计充分考虑了企业级用户对数据安全和合规性的要求。在执行扫描时，它仅传输最小必要信息（如技能名称、来源标签和版本号），绝不上传源码、对话内容或工作区文件。对于不允许外联的环境，用户可通过设置 `AIG_CLOUD_LOOKUP=off` 启用完全离线的本地模式，确保敏感数据零泄露。同时，工具内置多层防护机制：在安装前会进行预检，确认 OpenClaw 二进制路径正确且避免对生产网关执行高风险探测；扫描过程中若云端服务不可用，会自动降级为本地分析并明确标注缺失的情报项，保证报告完整性与可用性。 作为一款由专业团队维护的开源项目（基于 GitHub 上的 AI-Infra-Guard），EdgeOne ClawScan 不仅提供命令行接口供开发者集成使用，还具备清晰的输出格式和修复建议指引。无论是普通用户希望进行一次全面的安全体检，还是运维人员需要审核特定技能的供应链风险，该工具都能以直观易懂的方式呈现结果，并给出针对性的优化方向——例如收紧网络暴露面、升级易受攻击的版本或限制过度权限的技能访问范围。
核心功能特点
- 一键启动全面安全审计，涵盖 OpenClaw 配置、技能供应链风险和 CVE 漏洞匹配
- 支持本地静态分析与云端威胁情报双引擎检测，兼顾隐私与时效性
- 最小化网络请求设计，仅上传技能名、来源和版本等元数据，不泄露源码或用户数据
- 内置生产环境防护机制，自动识别高危操作并提示确认后才执行深层探测
- 提供清晰的风险分级与修复建议，非技术用户也能理解问题本质与应对措施
适用场景
EdgeOne ClawScan 特别适用于需要保障 OpenClaw 运行环境安全的各类场景。在企业内部部署中，管理员可定期使用该工具对所有节点执行安全体检，及时发现因配置不当导致的网关暴露、权限过大等问题，防止被外部攻击者利用。例如，当某个 Skill 声称仅用于格式化 JSON 文件却实际调用了系统 shell 命令时，ClawScan 能在安装前预警此类越权行为，避免引入恶意代码。此外，对于依赖第三方技能扩展功能的开发团队而言，每次从 clawhub 等官方集市安装新组件前运行一次技能级扫描，即可有效过滤已知恶意或高风险插件，降低供应链攻击风险。 另一个典型应用场景是个人开发者或小型工作室的日常维护。面对日益复杂的 AI 技能生态，即使是最谨慎的用户也可能误装存在隐蔽后门的老旧版本。借助 ClawScan 的自动化检测能力，用户可以轻松验证所装技能是否声明一致、权限是否合理、是否存在硬编码密钥等隐患。尤其当其工作环境处于隔离网络（air-gapped）时，开启纯本地模式后仍可完成大部分安全检查，仅依赖内置规则库判断风险等级，无需担心数据外传问题。 更进一步地，ClawScan 还可作为持续集成/交付（CI/CD）流程中的一环嵌入自动化脚本。比如在每次 OpenClaw 升级前后自动触发全量扫描，生成标准化报告供后续归档审查；或者在部署新版本前先行验证所有关联技能的安全性，确保上线过程符合公司信息安全策略。这种轻量级但高效的集成方式，使得 ClawScan 成为构建可信 AI 基础设施不可或缺的一环。