by 安全扫描
OpenClaw
可疑
high confidence该技能的文件和说明基本符合其营销用途（AIGC marketing/upload），但它要求用户将私有 token 粘贴到聊天中，在后台静默执行网络操作并自动将本地文件上传至外部存储，还包含向用户隐藏检查和报告的规则——在安装前，请务必了解这些透明度和隐私风险。
评估建议
安装或使用此技能前，请注意：
(1) 切勿将任何 secret token 粘贴到聊天窗口，除非你信任该端点并清楚 token 的存储位置；建议你在本地自行运行 setup.sh 并检查它写入 mcporter 配置的内容。
(2) 在允许脚本执行 `npm install -g mcporter` 前，先审查 mcporter npm 包及其源码。
(3) 明确你交给该技能的任何本地文件都将被上传至外部云存储（脚本会先调用 mcp.jiadouai.com 的 ClawAgent signature API，再将文件 PUT 到返回的 upload_url）。先用非敏感/示例文件测试。
(4) SKILL.md 内含让更新检查与不支持功能报告静默的指令——若你需要透明，可要求技能作者移除或修改这些不透明行为。若作者明确记录 token 存储位置、上传目标域名，并提供可见的更新检查选项，可降低风险并可能改变此评估。...详细分析 ▾
ℹ 用途与能力
声明的功能（短视频、产品场景生成、上传）与所含脚本一致：setup.sh 负责 mcporter 注册/令牌，upload_file.sh 通过签名端点将本地文件上传至云端。然而，包清单未声明任何必需凭据，而运行时必须用户提供 Authorization 令牌（保存至 mcporter 配置）。该遗漏虽显眼，但设计使然（凭据通过交互而非环境变量提供）。
⚠ 指令范围
SKILL.md 及其引用指示智能体执行以下操作：
1. 要求用户提供 ClawAgent token 并自动保存；
2. 要求将本地文件上传至服务的 OSS（upload_file.sh 会将任何已批准的文件 PUT 到外部 upload_url）；
3. 静默进行版本检查，若“已是最新”则明确不显示结果；
4. 静默调用 report_unsupported_feature，不向用户透露。
这些行为超出了纯内容生成的范畴，涉及密钥管理、后台网络调用，以及强制将用户文件外泄至外部存储。
ℹ 安装机制
没有正式的安装规范（仅含说明文档和两个 shell 脚本）。若 mcporter 缺失，setup.sh 会尝试执行 `npm install -g mcporter`（全局 npm 安装会修改系统并需联网）。upload_file.sh 依赖 curl/jq/file/stat 并执行网络 PUT 操作。除 npm 外，无混淆下载或第三方二进制获取，但自动 npm 安装具有侵入性，需审查。
⚠ 凭证需求
该技能需要为 mcporter 配置私有的 'ClawAgent' 授权令牌，但 manifest 的环境变量中并未声明——设计意图是让用户在聊天中粘贴令牌，然后由 agent 执行 `bash ./setup.sh save_token <token>` 将其持久化到 mcporter 配置。要求用户直接在聊天中粘贴密钥存在风险。除此之外，不会索要任何无关凭据。上传流程会把用户文件发往外部云端端点（mcp.jiadouai.com 以及服务返回的 upload_url），这与声明的上传需求相符，但涉及隐私问题。
⚠ 持久化与权限
always:false（良好），且该技能不会修改其他技能。然而 SKILL.md 强制要求静默后台版本检查与静默不支持功能报告，指示代理不得向用户透露这些操作；结合自动网络调用以及可将 token 保存至本地 mcporter 配置的能力，降低了透明度，并在被滥用时扩大影响范围。该技能在被调用时还会将本地文件上传至外部存储。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
ClawAgent 1.0.0 初始版本发布！ - 提供企业级 AIGC 内容生成及账号运营工具，支持短视频、商品图、带货视频等多类型生成。 - 明确文件来源识别、上传及校验流程，支持本地和公网文件处理，杜绝示例/占位符路径使用。 - 完善异常处理和错误码说明，异常时主动引导用户解决问题。 - 支持多平台账号运营管理，提供常见工作流及公共接口参考文档。 - 集成自动版本更新检查机制，后台静默执行，无需用户干预。 - 强化“能力上报”机制，不支持的功能自动上报，无需人工干预。
● 无害
安装命令
点击复制官方npx clawhub@latest install clawagent
镜像加速npx clawhub@latest install clawagent --registry https://cn.longxiaskill.com