by 安全扫描
OpenClaw
可疑
medium confidence该技能的文档与运行时说明与 Lindorm helper 一致，但默认并指导使用 Aliyun CLI 并获取敏感实例数据，而注册元数据未声明这些运行时需求——此差异及敏感凭据的处理需引起警惕。
评估建议
该技能看似是一份真实的 Lindorm 运维/开发者指南，却要求使用 Aliyun CLI 及环境中已配置的云凭证，而注册元数据并未声明这一需求。安装或调用前请注意：
- 确认 agent 运行时是否已安装 aliyun CLI 并配置了 profile。若不希望技能访问云账户，保持 CLI 未安装或取消 profile。
- 若允许访问，确保 CLI profile 采用最小权限（如文档推荐的只读角色 AliyunLindormReadOnlyAccess + AliyunCloudMonitorReadOnlyAccess），而非完整管理员凭证。
- 须知技能指令明确提到获取实例密钥（InitialRootPassword）并提供连接凭证——这是设置所需，但属敏感信息。如需保密，请询问发布者该技能如何在聊天记录中处理和打码密钥。
- 请要求发布者更新注册元数据，声明所需二进制文件（aliyun）及任何运行时要求（网络访问、允许的 CLI 操作）。此不匹配是主要一致性问题。
若无法验证运行时环境或不信任未知发布者，建议不要启用该技能，或在权限最小的隔离账户/环境中...详细分析 ▾
ℹ 用途与能力
名称/描述（Lindorm operations、dev guidance、reference material）与大量附带的参考文档和决策树相符。然而，SKILL.md 明确指示使用 Aliyun CLI（如 aliyun hitsdb get-lindorm-instance、get-lindorm-v2-instance-details）及其他 shell/网络命令，但元数据中未列出所需二进制文件或凭据——声明需求与实际指令不符。
⚠ 指令范围
运行时指令要求 agent 调用 aliyun CLI API，以暴露实例 endpoint 并显式引用 InitialRootPassword 字段。该技能还指示进行网络调用（官方文档、curl ifconfig.me），并生成/返回连接凭证及完整代码示例。获取并返回实例 root 密码属于技能目的范围，但属敏感操作；SKILL.md 仅提供“绝不回显 AK/SK”的高层级指引，未对会话中如何展示或保护这些密钥作进一步限制。
✓ 安装机制
仅含指令的技能，无安装配置、无代码文件——安装风险最低。技能包本身不会下载或写入任何内容到磁盘。
⚠ 凭证需求
该技能未声明任何必需的环境变量或主凭证，但其指令假定已配置 Aliyun CLI 配置文件（从而拥有云凭证访问权限），并可能通过该 CLI 读取实例详情。未将“aliyun”声明为必需二进制文件，也未声明凭证需求，这与 SKILL.md 在运行时实际所需严重不符。
✓ 持久化与权限
always:false，无需安装，也不修改其他技能或系统设置。允许正常模型调用（默认）。无迹象表明该技能请求永久性平台级权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.0.1-beta.12026/4/20
Alibaba Cloud Lindorm Agent Skill 初始 beta 版发布 - 面向 Lindorm 实例管理、监控、性能、存储、连接、备份、迁移、权限、慢查询分析及开发者场景提供基于 Skill 的指导 - 采用严格映射：答案仅引用内部 Skill 文档或阿里云官方文档 - 覆盖三大核心领域：运维管理、开发者指南、参考资料 - 内置详细决策树与映射表，将用户场景路由至对应文档 - 集成命令行验证与安全规范，支持 Aliyun CLI 使用，含 AI-mode 生命周期及权限处理流程
● 无害
安装命令
点击复制官方npx clawhub@latest install alibabacloud-lindorm-agent-skill
镜像加速npx clawhub@latest install alibabacloud-lindorm-agent-skill --registry https://cn.longxiaskill.com