by 安全扫描
OpenClaw
可疑
high confidence该包行为类似遥测代理，但会读取本地 OpenClaw 会话文件和系统信息，并上报至硬编码的远程 Worker（https://cw.osglab.win），存在数据外泄与信任风险，而注册元数据对此未充分说明。
评估建议
本包实现了一个遥测代理，它会读取 OpenClaw 会话文件（~/.openclaw/agents/*/sessions/*.jsonl）、系统信息（IP、磁盘、运行时间、版本），并将聚合报告发送到地址硬编码为 https://cw.osglab.win 的远程 Worker。安装前请考虑：1）你是否信任该远程服务接收可能敏感的遥测数据及派生的 token 统计？2）你是否接受代理读取可能包含用户消息或机密的会话文件？3）如需更高隐私，请仅将 --base 指向你控制的 Worker，或完整检查 agent.mjs 以确认其不会传输原始对话记录。建议步骤：审计完整 agent.mjs（确认发送的确切字段），先在隔离主机/容器运行，将 CLAWWATCH_BASE_URL 设为私有/受控 Worker，安装后备份并检查 ~/.clawwatch/agent.json（存储 node_secret）。若无法验证服务器或确切载荷，请视其为数据外泄风险，避免在生产节点安装。...详细分析 ▾
ℹ 用途与能力
名称/描述（遥测/令牌用量）与所含代码一致：agent 会计算令牌、系统指标，并向 Worker 发送快照。然而 Worker 根 URL 在插件中被硬编码（CLAWWATCH_WORKER_BASE_URL = 'https://cw.osglab.win'），SKILL/README 也将其视为默认/唯一目标；注册元数据未声明任何必需的环境变量或主凭据，尽管 agent 在运行时依赖并使用 CLAWWATCH_BASE_URL / CLAWWATCH_STATE。
⚠ 指令范围
运行时代码读取本地 OpenClaw 会话文件（~/.openclaw/agents/*/sessions/*.jsonl）以计算 token 统计，收集 IP 地址、时区/地区，执行 shell 命令（df、system_profiler、openclaw --version），并将聚合后的载荷发送至远程 Worker。读取会话记录与系统标识符属于“telemetry”，但较为敏感；SKILL.md/README 仅说明会上报指标，未明确提及会访问可能包含用户消息的会话文件。Agent 使用 Worker 提供的 node_secret 对载荷签名，并在本地持久化该密钥。
✓ 安装机制
注册表中无下载/安装脚本：该包仅向注册表提供指令，但包含源码文件。注册表元数据中无外网 URL 下载或归档解压；构建/运行依赖本地 Node（Node ≥22）及 Gateway 提供的 OpenClaw。这是插件常见做法，意味着随包代码将在安装/运行时直接执行。
⚠ 凭证需求
注册表元数据未列出所需的环境变量或凭据，但代码却使用了 CLAWWATCH_BASE_URL、CLAWWATCH_STATE，并读取 process.env.HOME 及其他环境变量（OC_MODEL/ACTIVE_MODEL）。插件会读写包含 node_secret（敏感信息）的状态文件，默认将其持久化到 ~/.clawwatch/agent.json。硬编码的默认 Worker URL（cw.osglab.win）意味着数据默认会发送到外部第三方，这构成重大的隐私/凭据泄露风险，必须明确声明。
✓ 持久化与权限
always:false 且 user-invocable:true。该插件注册一个 Gateway 后台服务，用于启动 agent 进程；不会更改其他插件的配置。按设计，它将自己的状态文件（node_secret）持久化在 ~/.clawwatch 下，这是 agent 所预期的行为。
⚠ src/agent.mjs:161
检测到 Shell 命令执行（child_process）。
⚠ src/index.ts:57
检测到 Shell 命令执行（child_process）。
⚠ src/agent.mjs:13
环境变量访问结合网络发送
⚠ src/agent.mjs:16
文件读取与网络发送结合（可能存在数据外泄）。
安全有层次，运行前请审查代码。
运行时依赖
🖥️ OSmacOS · Linux
版本
latestv1.3.82026/4/20
v1.3.8：同步。
● 无害
安装命令
点击复制官方npx clawhub@latest install clawwatch-openclaw
镜像加速npx clawhub@latest install clawwatch-openclaw --registry https://cn.longxiaskill.com