Skill Security Scanner 是一款专为 OpenClaw 技能生态设计的静态安全分析工具，旨在帮助开发者和用户在安装或使用新技能前快速识别潜在的安全风险。该工具通过扫描技能的元数据、文档内容和代码模式，生成综合性的信任评分，并提供详细的风险评估报告。其核心目标是提升 OpenClaw 技能库的整体安全性，防止恶意或配置不当的技能在社区中传播。无论是从 ClawHub 下载新技能，还是对已安装技能进行定期审计，该工具都能提供清晰、可操作的反馈，辅助用户做出明智的安全决策。
核心功能特点
- 基于多维度分析生成 0-100 分信任评分，直观反映技能安全等级
- 自动检测高风险行为模式，如网络外泄、凭据窃取和代码混淆
- 支持扫描单个技能或整个工作空间，适应不同审计需求
- 提供详细的权限请求清单和风险分类（低/中/高/严重）
- 集成快速查询命令，便于日常安全检查和决策参考
适用场景
Skill Security Scanner 最典型的应用场景是在安装新技能前进行安全预检。例如，当用户从 ClawHub 发现一个名为 ‘cool-new-skill’ 的工具并打算使用时，可直接运行 `scan-skill` 命令获取其信任分数。若分数低于 60，系统会提示进一步审查；若低于 40，则强烈建议放弃使用。这种机制有效阻止了类似 ClawHavoc 事件中出现的恶意技能扩散。此外，对于长期使用的技能环境，建议每周执行 `scan-all` 对所有已安装技能进行全面扫描，及时发现因更新滞后或作者声誉变化而带来的新风险。企业或团队还可将扫描结果归档至 `.learnings/` 目录，形成持续的安全知识资产，用于后续技能选型和内部培训。