安全扫描
OpenClaw
可疑
high confidence该技能基本如描述,但注册元数据未声明必需的 VWU_API_KEY,脚本暴露未记录的 VWU_BASE_URL 覆盖,并在配额错误时打印部分 API 密钥,这些不一致性令人担忧,应在使用前澄清。
评估建议
该技能实现了一个简单的 vwu.ai 客户端,但在安装或使用前应检查以下几点:- 注册元数据未声明必需的 VWU_API_KEY(尽管 SKILL.md 和脚本都需要它),应优先选择明确声明所需凭据的技能。- 自行检查 vwu-chat.sh(它很小),确认您信任源。脚本将您的 VWU_API_KEY 发送到 VWU_BASE_URL;默认使用 https://vwu.ai,但环境变量(VWU_BASE_URL)可以覆盖端点。仅将 VWU_BASE_URL 设置为可信域。- 脚本在配额错误消息中打印 API 密钥的前 8 个字符。虽然不是完整密钥,但在日志或共享终端中,这种部分暴露可能不理想。- 如果继续,仅在可信环境中设置 VWU_API_KEY,并避免设置 VWU_BASE_URL 除非您控制端点。考虑要求发布者更新注册元数据以声明 VWU_API_KEY 作为必需凭据,并记录 VWU_BASE_URL 行为。鉴于包含的文件,信心度很高;主要风险是文档不一致和未记录/可覆盖的端点。...详细分析 ▾
⚠ 用途与能力
The skill's stated purpose (call vwu.ai doubao models) matches the code and instructions: the script calls vwu.ai's /v1/chat/completions. However, the registry metadata lists no required environment variables or primary credential while the SKILL.md and vwu-chat.sh both require VWU_API_KEY. This mismatch between declared requirements and actual needs is incoherent.
ℹ 指令范围
SKILL.md and vwu-chat.sh stay within the expected scope (compose a JSON request and call the model). Minor issues: SKILL.md documents VWU_API_KEY but does not mention VWU_BASE_URL, yet the script allows overriding the base URL via VWU_BASE_URL. The script also prints the first 8 characters of the API key in quota-error messages, which leaks a partial secret in local output.
✓ 安装机制
No install spec (instruction-only with a small included shell script). Nothing is downloaded or written during install, so install mechanism risk is low.
⚠ 凭证需求
The only necessary secret is an API key (VWU_API_KEY), which is proportionate for the stated function. But the registry metadata fails to declare this required env var or primary credential. Additionally, the undocumented VWU_BASE_URL env var can redirect requests to an arbitrary endpoint if set — a possible exfiltration vector if an attacker controls that environment variable or the environment where the skill runs.
✓ 持久化与权限
always is false and the skill does not request persistent agent privileges or modify other skills. It does not attempt to store credentials or alter system-wide settings.
安全有层次,运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/16
初始发布 - vwu.ai Doubao 模型集合,包含所有可用模型(7 个)
● 可疑
安装命令 点击复制
官方npx clawhub@latest install vwu-doubao
镜像加速npx clawhub@latest install vwu-doubao --registry https://cn.clawhub-mirror.com
技能文档
vwu.ai 平台上的 Doubao 模型调用技能。
支持的模型
- doubao-1-5-pro-32k
- doubao-seed-1-6-flash
- doubao-seed-1-6-lite
- doubao-seed-1-8
- doubao-seed-2-0-pro
- doubao-seedance-1-5-pro-251215
- doubao-seedream-4-5-251128
配置
使用前需要设置 vwu.ai API key:export VWU_API_KEY="your-key-here"
获取 key: https://vwu.ai 控制台
使用示例
# 调用模型
vwu-chat --model doubao-1-5-pro-32k "你的问题"
API 兼容性
所有模型兼容 OpenAI API 格式,支持标准 chat completions 接口。额度提示
如果使用时提示"额度不足"或类似错误:- 访问 https://vwu.ai
- 在控制台充值或调整额度
- 或生成新的 API key
由 Claw 自动生成 | 源数据: vwu.ai
数据来源:ClawHub ↗ · 中文优化:龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险,如需更匹配、更安全的方案,建议联系付费定制