by 安全扫描
OpenClaw
安全
high confidence该技能的代码和指令与其声明的用途（每日 arXiv 收集、本地格式化、可选的飞书 webhook 推送）相匹配；未发现过度权限或隐藏端点，但用户应验证配置的 webhook，并在启用自动化运行前检查本地文件写入操作。
评估建议
该技能似乎实现了其声称的功能：获取最新的 arXiv 论文、尝试提取机构信息、格式化 Markdown 报告、可选地将预览 POST 到飞书 webhook。在安装或启用自动化运行之前：1) 检查 feishu_config.json 和将设置的任何 webhook URL — webhook 实际上是出站目的地，将接收报告内容（作者、摘要等）。不要将其指向不受信任的第三方端点。2) 如果关心隐私或准确性，请查看脚本（fetch_arxiv.py、deep_analyze.py、get_affiliations.py）— 它们会抓取 arXiv 页面并自动更新 skill 目录中的 affiliations_db.json。3) 如果启用 cron，请自行添加 crontab 条目，而不是使用任何自动安装程序，并首先交互式运行脚本以确认行为。4) 预期偶尔会出现机构提取错误；代码启发式方法匹配关键词和 GitHub 仓库名称，可能会有噪声。如果想要更多保障，请在受限环境或容器中运行脚本，并仅提供受信任的 webhook。...详细分析 ▾
✓ 用途与能力
名称/描述（每日 arXiv 论文聚合 + 飞书推送）与包含的文件一致：fetch_arxiv.py、机构提取器、推送 shell 脚本、cron/run 辅助脚本。所需能力（访问 arxiv.org 的 HTTP、可选的飞书 webhook）与声明的用途一致。
ℹ 指令范围
运行时指令和脚本执行的任务完全符合描述：查询 arXiv API、解析 XML、可选抓取 arXiv HTML 以提取机构信息、格式化 Markdown、将报告保存到 /tmp 并 POST 消息到配置的飞书 webhook。没有指令读取无关的系统密钥或其他系统配置。注意：deep_analyze.py 和其他脚本抓取 arXiv HTML 并查找 GitHub 链接和已知机构关键词 — 这是预期的，但可能在机构提取中产生误报/漏报。
✓ 安装机制
没有安装规范或远程下载；该技能是指令加源文件。没有包下载或归档提取。安装风险很低，但运行包含的脚本将执行捆绑的 Python/bash 文件。
ℹ 凭证需求
注册表元数据声明没有必需的环境变量，这是合理的，因为飞书 webhook 是可选的。然而，运行时脚本期望 FEISHU_WEBHOOK_URL（环境变量）或本地 feishu_config.json 来发送推送消息。唯一的目标外部端点是 arxiv.org、github.com（模式匹配）和用户提供的飞书 webhook。用户应将任何 webhook URL 视为密钥/目标，并在配置之前进行验证。
✓ 持久化与权限
always:false 且不修改其他技能或系统范围的 agent 配置。该技能会在自己的目录中写入一个小的 affiliations_db.json（并将报告保存到 /tmp）；建议使用 crontab，但需要明确的用户操作。未请求提升权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/16
arxiv-daily-skill v1.0.0 - 首发版本，实现每日自动搜集、筛选、整理并推送 arXiv 最新 LLM/RAG/Agent 方向论文。支持飞书定时与关键词手动触发推送，输出包含机构信息与详解的 Markdown 格式报告。内置机构识别与自动累积功能，支持深度分析模式和自定义搜索方向。数据文件结构与配置清晰，支持工作日定时推送与历史报告保存。
● Pending
安装命令
点击复制官方npx clawhub@latest install arxiv-daily-skill
镜像加速npx clawhub@latest install arxiv-daily-skill --registry https://cn.longxiaskill.com