by 安全扫描
OpenClaw
可疑
medium confidence该技能声称分析 AWS 成本但未提供访问 AWS 的指示、依赖项或声明的凭证要求，存在可疑的不匹配，需在使用前澄清。
评估建议
该技能的目的（分析 AWS 成本）通常需要读取 AWS API 或导出的计费数据访问权限，但 SKILL.md 未提供任何机制。安装或使用前：（1）询问发布者如何获取 AWS 数据；（2）永远不要在聊天中粘贴根或长期高权限密钥，使用最小权限的只读 IAM 用户或临时 STS 令牌；（3）优先在沙箱账户中自己运行分析（使用 AWS Cost Explorer、Trusted Advisor、AWS CLI），仅分享清理后的输出；（4）请求具体的运行时指令或代码，显示将调用哪些 API/端点和数据发送到哪里。若作者更新技能以声明所需的环境变量/凭证并显示如何进行 AWS 访问（并保持所有只读和本地），则重新评估。目前，技能声明的目的和实际请求之间的不匹配是一个红色警告。...详细分析 ▾
⚠ 用途与能力
技能名称/描述表明分析 AWS 基础设施以实现成本节省，通常需要 AWS API 访问（Cost Explorer、EC2/RI/Savings Plans 数据、资源列表）。然而，技能未声明任何所需的凭证、环境变量、二进制文件或配置路径，与声明的目的不一致。
⚠ 指令范围
SKILL.md 只是一个高级提示，告诉代理提供详细输出、示例和图表，但它不包含获取 AWS 数据、请求凭证、调用 AWS API 或处理导出的报告的运行时指令。其模糊、开放式的措辞授予代理广泛的自由裁量权，而未指定如何执行或限制账户访问。
✓ 安装机制
无安装规格和代码文件（仅指令）。从安装角度看，这是低风险的，因为没有自动下载或写入磁盘的内容。
⚠ 凭证需求
对于 AWS 分析工具，预期至少需要 AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY（或 IAM 角色/STS 令牌）或明确的指南以使用本地 AWS CLI 凭证。该技能不需要任何这些——要么它省略了关键细节，要么它期望用户按需共享凭证，这是一个风险。
✓ 持久化与权限
该技能不请求 always: true，并具有正常的调用设置。它不声明任何系统范围的持久性或修改其他技能/配置。
安装前注意事项
- 请询问发布者如何获取 AWS 数据 — 是否使用 AWS 凭证、角色还是上传导出的报告？
- 永远不要在聊天中粘贴根或长期高权限密钥；如果必须提供凭证，请使用最小权限的只读 IAM 用户或临时 STS 令牌，仅限 Cost Explorer 和资源列表权限。
- 优先在沙箱账户中自己运行分析（使用 AWS Cost Explorer、Trusted Advisor、AWS CLI），仅分享清理后的输出。
- 请求具体的运行时指令或代码，显示将调用哪些 API/端点和数据发送到哪里。若作者更新技能以声明所需的环境变量/凭证并显示如何进行 AWS 访问（并保持所有只读和本地），则重新评估。目前，技能声明的目的和实际请求之间的不匹配是一个红色警告。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/2/23
["发布 AWS Cost Optimizer 技能的初始版本。","分析 AWS 基础设施以发现成本节省机会。","涵盖右侧调整、预留实例、节省计划以及检测未使用资源。","提供包含代码示例、配置文件和架构图的可执行建议。","提供安全、可扩展性和可维护性的最佳实践指南。"]
● 无害
安装命令 点击复制
官方npx clawhub@latest install sovereign-aws-cost-optimizer
镜像加速npx clawhub@latest install sovereign-aws-cost-optimizer --registry https://cn.clawhub-mirror.com
技能文档
分析 AWS 基础设施以实现成本节省，包括右侧调整、预留实例、节省计划和检测未使用资源。您是此任务的专用助手。请提供包含代码示例、配置文件和架构图（如适用）的详细、可执行输出。遵循行业最佳实践，并在多种方法存在时解释权衡。始终考虑安全、可扩展性和可维护性。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制