by 安全扫描
OpenClaw
可疑
medium confidence该技能声明的目的（图像生成）与CLI使用相符，但省略了声明API密钥要求，同时指示代理程序索取和持久化用户API密钥，并安装第三方npm CLI —— 这些不符之处引发了警告。
评估建议
此技能似乎只是对第三方 CLI（@dlazy/cli）的轻量封装，用于生成图片，这本身合理，但存在若干重要缺口。安装或使用前请注意：
- 切勿在聊天中粘贴 API 密钥。技能会指示 agent 索要并保存你的密钥；建议改为在你控制的终端里自行运行 `dlazy auth set <key>`，或将密钥设为安全的环境变量。
- 先在 npm registry 验证 CLI 包（@dlazy/cli@1.0.5）并审查其源码；全局 npm 安装会在本机执行第三方代码。
- 提供本地文件路径可能会把这些文件上传至 dlazy 服务器（oss.dlazy.com），请勿发送敏感文件。
- 由于技能未在元数据中声明 API 密钥，其索要凭据的行为应视为不一致——请向技能作者或发布者索取更明确的安全说明，说明凭据存储位置及上传文件的处理方式。
若你不愿自行审计 npm 包或管理密钥，请直接在本地运行 CLI，而非将凭据交给 agent。...详细分析 ▾
ℹ 用途与能力
名称/描述（Vidu Q2 image generation）与运行 dlazy CLI 命令的指令一致。要求 npm/npx 是合理的，因为 SKILL 元数据建议安装 @dlazy/cli。然而，即使运行时指令明确要求 API key 或主要凭证，该技能的 manifest 并未声明，这一遗漏属于不一致。
⚠ 指令范围
运行时指令明确要求 agent 向用户索要 API key，并执行 `dlazy auth set <key>` 保存；随后运行可接收本地文件路径的 CLI `dlazy viduq2-t2i`（该 CLI 会读取并上传本地文件）。因此，指令不仅限于撰写提示，还会索取密钥并操作用户文件。该 Skill 未明确限制或警示上传本地文件的行为，也未说明密钥如何存储。
ℹ 安装机制
SKILL 元数据包含 `npm install -g @dlazy/cli@1.0.5`（标准 npm 安装）。顶级 registry 数据未列出安装说明，导致 SKILL 中声明的安装行为与 registry 记录不一致。全局安装 npm 包属于中等风险操作（从 npm registry 下载代码）；对基于 CLI 的集成而言合理，但应在 registry 元数据中明确记录。
⚠ 凭证需求
注册表未列出必需的环境变量或主要凭据，但说明却明确要求 API 密钥（并指示代理让用户粘贴）。请求用户机密却未在技能元数据中声明，风险过高，易导致密钥意外泄露。代理被指示通过 CLI 存储所提供密钥，但未说明存储位置与权限。
ℹ 持久化与权限
该技能未设置 always:true，也未请求系统级权限，这是好的。然而，它明确指示 agent 运行 'dlazy auth set <key>' 以持久化凭据（可能写入本地配置），因此安装并使用 CLI 会在 agent 的 manifest 之外创建持久的认证状态。这种行为对 CLI 而言是合理的，但应在元数据中披露。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/22
dlazy-viduq2-t2i 的初始版本。 - 使用 Vidu Q2 生成高质量图像，支持文本到图像和图像到图像工作流程。 - 命令行界面（CLI）具有多种选项：提示，图像输入，长宽比，分辨率等。 - 提供清晰的错误处理和缺失积分或 API 密钥的指示。 - 输出格式提供生成的图像 URL。 - 包括设置，触发器，使用示例和帮助指南。
● 无害
安装命令
点击复制官方npx clawhub@latest install dlazy-viduq2-t2i
镜像加速npx clawhub@latest install dlazy-viduq2-t2i --registry https://cn.longxiaskill.com 镜像可用
技能文档
使用Vidu Q2生成高质量图像。支持文本到图像和图像到图像。
触发关键词
- vidu q2
- 生成图像，编辑图像
- 文本到图像，图像到图像
使用方法
对于AGENT的重要说明：运行dlazy viduq2-t2i命令以获取结果。
dlazy viduq2-t2i -h
选项：
--prompt 提示
--generation_mode 生成模式 [默认：components]（选择："components"）
--images 图像 [图像：url或本地路径]（最多10）
--aspectRatio 长宽比 [默认：9:16]（选择："16:9"，"9:16"，"1:1"，"3:4"，"4:3"，"21:9"，"2:3"，"3:2"）
--resolution 分辨率 [默认：1080p]（选择："1080p"，"2K"，"4K"）
--input JSON有效载荷：内联字符串，@文件或-（标准输入）
--dry-run 打印有效载荷+成本估算而不调用API
--no-wait 返回generateId立即用于异步任务
--timeout 最大等待异步完成的秒数（默认："1800"）
-h, --help 显示命令的帮助
输出格式
{
"ok": true,
"kind": "urls",
"data": {
"urls": [
"https://oss.dlazy.com/result.mp4"
]
}
}
命令示例
# 基本调用：
dlazy viduq2-t2i --prompt '提示文本' --image '/path/to/image.png'
# 复杂调用：
dlazy viduq2-t2i --prompt '提示文本' --image 'https://oss.dlazy.com/image.png'
错误处理
| 代码 | 错误类型 | 示例消息 | | ---- | ---------------------------------- | ------------------------------------------------------------------------------------------------------------------------ | | 401 | 未经授权（无API密钥） |ok: false, code: "unauthorized", message: "API密钥缺失或无效" |
| 501 | 缺少必需参数 | error: required option '--prompt ' not specified |
| 502 | 本地文件读取错误 | Error: Image file/Video file not found: C:\path\to\your\file |
| 503 | API请求失败（无余额） | ok: false, code: "insufficient_balance" |
| 503 | API请求失败（服务器错误） | HTTP status code error (500 server crash) |
| 504 | 异步任务执行失败 | === Generation Failed === / {Specific error reason returned by backend, for example "Prompt violates safety policy"} |
对于AGENT的重要说明：
- 如果执行结果返回
code: "insufficient_balance"，您必须明确告知用户其信用额度不足，并指导他们充值：https://dlazy.com/dashboard/organization/settings?tab=credits - 如果执行结果返回
code: "unauthorized"或指示缺少API密钥，您必须告知用户从https://dlazy.com/dashboard/organization/api-key获取其API密钥，并将其发送给您。一旦他们提供，您可以使用dlazy auth set保存它并继续任务。