by 安全扫描
OpenClaw
可疑
medium confidence该技能声明的用途（多模态生成）与 CLI 安装器的使用相符，但运行时指令要求代理请求并持久化用户 API 密钥（未声明凭据/配置需求），且未对敏感操作（如 voice cloning）设置任何防护措施，存在逻辑不一致和隐私风险。
评估建议
安装前：
1) 切勿在聊天中粘贴 dlazy（或任何）API key——请自行在本地设置（例如在受控终端运行 `dlazy auth set <key>`）。
2) 在 npm 仓库核实 @dlazy/cli@1.0.5：检查维护者、发布说明与包内容，并在安全环境执行 `npm audit`。
3) 确认 CLI 存储凭据的位置（如 ~/.config/dlazy），并审查这些文件。
4) 谨慎使用或启用 voice-cloning 模型；需获得同意并了解法律/安全影响。
5) 若要继续但规避隐私风险，可要求 skill 声明凭据/配置路径，或仅由你自己运行 CLI，而非让 agent 请求/存储密钥。...详细分析 ▾
✓ 用途与能力
名称/描述承诺多模态生成，该技能期望使用通过 npm 安装的 dlazy CLI；需要 npm/npx 并调用 dlazy 子命令与此目的相符。
⚠ 指令范围
SKILL.md 指示 agent 要求用户“发送”其 dlazy API key，然后运行 `dlazy auth set <key>` 保存。该 skill 从未声明需要凭据，也未说明存储位置。它还包含高风险模型能力（voice cloning），却未提供同意/安全指引。让用户在聊天中粘贴密钥并指示 agent 持久化，与 skill 声明的需求不符，增加了隐私/泄露风险。
ℹ 安装机制
没有 registry 安装规范，但 SKILL.md 元数据中包含 `npm install -g @dlazy/cli@1.0.5`。对于基于 CLI 的生成技能，从 npm 安装 CLI 是预期行为，但全局 npm 安装可能执行任意代码——运行前请验证包来源并审查 npm 包。
⚠ 凭证需求
注册表元数据未列出任何必需的环境变量或配置路径，但说明却明确要求 API 密钥并指示代理保存它。这种不匹配（未声明的凭据需求）是一个危险信号：该 skill 需要敏感凭据，却未声明或限制其提供或存储方式。
ℹ 持久化与权限
always:false（正常）。然而，该技能的流程通过 `dlazy auth set <key>` 持久化凭据，意味着将配置写入磁盘（未声明）。这种持久化对 CLI 而言合理，但在技能元数据中未予说明——是一个需注意的透明度缺口。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
初始版本：通过 dlazy CLI 实现图像、视频与音频的全能生成技能 - 根据用户意图自动为图像、视频或音频选择对应的 dlazy CLI 模型 - 列出并描述各媒体类型的可用模型 - 提供运行命令与查看模型参数的清晰指引 - 详述错误处理及代理响应用户问题的关键指令
● Pending
安装命令
点击复制官方npx clawhub@latest install dlazy-generate
镜像加速npx clawhub@latest install dlazy-generate --registry https://cn.longxiaskill.com