by 安全扫描
OpenClaw
安全
medium confidence该技能内部一致——它是一个纯指令包装器，运行外部 Snyk 代理扫描器来审计技能和代理组件，不请求凭证，也不修改系统状态——但它明确运行外部代码并建议通过 curl|sh 安装工具，因此使用前需验证来源。
评估建议
该技能与其声明目的保持一致，但依赖在扫描时获取和运行第三方工具。使用前：1) 验证 uvx/uv 和 snyk-agent-scan 的真实性（检查官方项目页面、发布签名和引用的 GitHub 仓库），2) 避免将未知 curl 脚本导入 sh——优先使用包管理器或经过审计的安装步骤，3) 如可能，从最低权限或隔离环境运行扫描，4) 在采取自动修复步骤前仔细审查扫描结果。如需更高保证，请向技能作者请求固定发布 URL 或签名二进制文件，而非使用 @latest。...详细分析 ▾
✓ 用途与能力
名称/描述（Snyk Skill Scanner）与指令一致：它告诉代理操作者如何通过 uvx 运行 snyk-agent-scan 来扫描技能和 MCP 服务器。所有声明的元数据（无环境变量、无二进制文件、无安装规范）与纯指令扫描助手的定位相符。
ℹ 指令范围
SKILL.md 聚焦主题：指导对技能和 MCP 路径运行 uvx snyk-agent-scan 并展示预期输出。引用常见技能路径并提供 --skills 和 --json 等标志。明确指出执行外部代码（通过 uvx 运行 snyk-agent-scan），这对于扫描器来说是适当的，但扩大了运行时信任要求——用户/代理将获取并运行第三方代码。
⚠ 安装机制
技能中没有正式的安装规范，但文档指导使用 uvx 获取 snyk-agent-scan@latest，并提供包含 curl | sh 安装程序（astral.sh）的 uv 引导说明。uvx 和 uv 都将在运行时下载/执行外部代码；推荐 curl | sh 是中等风险向量。这对于运行外部扫描器的工具来说是预期的，但用户应验证来源并优先使用经过审查的包管理器或签名发布。
✓ 凭证需求
该技能不请求环境变量、凭证和特殊配置路径。这对于运行外部扫描器并报告结果的只读扫描助手来说是相称的。
✓ 持久化与权限
always:false 且技能不请求安装或文件写入。它不要求持久存在或修改其他技能的配置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/4
snyk-skill-scanner 1.0.0 - 技能扫描器的初始版本。- 提供使用 snyk-agent-scan 扫描代理组件（技能、MCP 服务器、工具）安全漏洞的文档。- 详细说明快速扫描命令、检测的风险类型（提示词注入、恶意软件、凭证泄露等）以及结果解读。- 列出故障排除步骤、技能位置、自定义路径扫描和示例输出。- 包含官方问题代码参考链接。
● 无害
安装命令 点击复制
官方npx clawhub@latest install snyk-skill-scanner
镜像加速npx clawhub@latest install snyk-skill-scanner --registry https://cn.clawhub-mirror.com
技能文档
使用 snyk/agent-scan 检测代理组件中的安全风险。
快速扫描
# 扫描机器上的所有技能
uvx snyk-agent-scan@latest --skills# 扫描 MCP 服务器（默认行为）
uvx snyk-agent-scan@latest
# 带详细输出扫描
uvx snyk-agent-scan@latest --skills --verbose
# 输出 JSON 用于自动化
uvx snyk-agent-scan@latest --skills --json
检测内容
技能
- 提示词注入 (E004) - 隐藏在提示词中的恶意指令
- 恶意软件载荷 (E006) - 伪装成内容的恶意代码
- 不受信任的内容 (W011) - 可能不安全的外部数据
- 凭证处理 (W007) - 不当的密钥管理
- 硬编码密钥 (W008) - 代码中的 API 密钥或密码
MCP 服务器
- 提示词注入 (E001)
- 工具投毒 (E003)
- 工具伪装 (E002)
- 有毒流程 (TF001)
- Rug Pull (W005) - 恶意技能替换
工作流
- 安装新技能之前 → 先运行扫描
- 扫描之后 → 审查任何 E001/E003/E004/E006 问题（高严重性）
- 低严重性警告 (W005-W008) → 根据风险容忍度决定
结果解读
| 前缀 | 严重性 | 操作 |
|---|---|---|
| E | 高 | 修复或避免该技能 |
| W | 中/低 | 审查并决定 |
| TF | 高 | 检测到有毒流程 |
常见问题
如果找不到 uvx，请先安装 uv：
# macOS
brew install uv# Linux
curl -LsSf https://astral.sh/uv/install.sh | sh
OpenClaw 技能位置
OpenClaw 技能通常存储在：
- 全局:
~/.openclaw/skills/ - 工作区:
/skills/
要扫描自定义路径，直接传递：
uvx snyk-agent-scan@latest ~/.openclaw/skills/
输出示例
扫描将显示：
- 问题文件路径
- 风险类型和描述
- 严重级别（E/W/TF）
- 建议修复
查看完整报告：https://github.com/snyk/agent-scan/blob/main/docs/issue-codes.md
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制