by 安全扫描
OpenClaw
可疑
medium confidence技能声明的需求很轻量，但说明和README引用了外部服务、API密钥和敏感个人数据处理，却未声明所需的凭据或安装步骤——这种不匹配值得警惕。
评估建议
该技能处理敏感个人数据，但透明度不足。在安装或启用前：(1) 向作者索取API文档和清晰的机器可读所需环境变量列表（如ALTER_API_KEY、任何支付密钥或LLM密钥）。(2) 验证脱敏和'不持久化原始文本'是如何实现和审计的——请求数据流程图、保留/删除API和PII脱敏证明。(3) 使用合成数据在沙箱中测试，以确认服务不存储原始输入或泄露PII，并确认微支付流程。(4) 确认速率限制、定价，以及超出免费限额时的处理方式（是否需要密钥或自动扣费？）。(5) 如果要处理真实用户，需获得法律/隐私批准：同意措辞、选择退出/删除流程和收入分配需要合同明确性。技能目的连贯，但在所需凭据和保护措施方面不一致——使用前请澄清这些差距。...详细分析 ▾
ℹ 用途与能力
名称/描述与说明匹配：这是一个面向代理的身份/心理测量服务。它确实需要API来创建存根、提交文本和读取赚取的微支付。然而，README和SKILL.md引用了外部服务（MCP端点、x402微支付、ERC-8004集成和基于LLM的评估），而技能元数据声明没有所需的凭据或配置——即使能力本身是一致的，这种遗漏也降低了透明度。
⚠ 指令范围
SKILL.md指示代理收集并提交人类文本以进行特质提取，同时声称"原始文本永不持久化"和"PII：自动脱敏"。这些是关于远程服务的策略声明，但说明未描述如何在本地执行脱敏或如何验证删除/保留。代理被告知呈现隐私通知并获得同意（很好），但没有关于如何验证提交的数据将实际被远程端点脱敏或丢弃的指导。由于运行时行为依赖于外部API，说明赋予了代理发送潜在敏感PII的能力，但没有具体、可验证的保障措施。
ℹ 安装机制
这是纯指令式的（无安装规范），磁盘/执行风险低。README仍然显示示例安装（pip install anthropic httpx、运行alter_bot）和MCP服务器配置；这些是使用外部包或服务的示例，但并非由技能元数据强制执行。缺少明确的安装步骤与纯指令式技能是一致的，但示例与声明的安装需求之间的不匹配应该被澄清。
⚠ 凭证需求
技能声明没有所需的环境变量，但README示例引用了ANTHROPIC_API_KEY和ALTER_API_KEY，MCP配置显示了X-ALTER-API-Key头。如果代理或集成商想要使用Pro/高级功能或提供的示例客户端，则需要API密钥。元数据中缺少声明的环境要求是不一致的，这掩盖了需要密钥的位置及其使用方式。
✓ 持久化与权限
技能没有请求"always: true"，也没有安装规范、代码文件或声明的持久系统特权。它不会作为提供的SKILL.md的一部分修改其他技能或全局配置。唯一的长期持久性声明与远程服务存储声称的身份向量有关（服务级行为），而不是技能本身。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.2.22026/4/15
初始发布。面向AI代理商业的33特质心理测量身份引擎。MCP服务器位于mcp.truealter.com。身份收入：x402查询费的75%归数据主体所有。
● 可疑
安装命令
点击复制官方npx clawhub@latest install alter-identity
镜像加速npx clawhub@latest install alter-identity --registry https://cn.longxiaskill.com
技能文档
未提供SKILL.md文档内容