by 安全扫描
OpenClaw
可疑
medium confidence该技能的行为（获取RSS源和调用OpenAI TTS端点）与其描述相符，但运行指令引用未在清单中声明的API密钥（$OPENAI_API_KEY），且技能的源/主页未知 — 这些不匹配之处值得谨慎对待。
评估建议
该技能似乎做了它所声称的（拉取RSS源并总结），但运行指令使用$OPENAI_API_KEY调用OpenAI TTS API，而技能元数据未声明任何所需的凭据。安装或启用前，请考虑：- 是否信任这个未知的技能作者？没有主页或源代码列出。- 如果提供OpenAI API密钥，技能将发送总结文本到api.openai.com；如果可能，请使用具有有限范围/计费控制的专用密钥。- 请作者更新清单以声明所需的环境变量（OPENAI_API_KEY），使其权限透明。- 如果运行它，请注意它将写入/tmp/news.mp3；在临时文件和网络访问可接受的环境中运行。- 如果需要额外的谨慎，请在沙盒中（手动使用curl获取源并生成TTS）而不是授予技能运行时访问您的凭据。修复缺失的OPENAI_API_KEY声明并验证作者/源后，该技能将对其目的保持一致。...详细分析 ▾
✓ 用途与能力
名称/描述（新闻摘要 + 可选语音）与运行指令一致：SKILL.md 获取RSS源（BBC、路透社、NPR、阿尔杰齐拉），解析标题，总结，并可选调用TTS端点。列出的源和解析步骤与声明的目的一致。
⚠ 指令范围
指令主要针对获取和总结RSS源，但它们明确调用使用未在技能元数据中声明的环境变量（$OPENAI_API_KEY）的OpenAI TTS API。SKILL.md 还写入输出文件（/tmp/news.mp3）。所需凭据的缺失声明是一种不一致，影响运行时行为和隐私期望。
✓ 安装机制
仅指令的技能，无安装规格和代码文件 — 低持久性，无安装时下载。这是最低风险的安装机制。
⚠ 凭证需求
指令要求OpenAI API密钥来生成语音摘要（授权：Bearer $OPENAI_API_KEY），但清单未列出所需的环境变量或主凭据。请求或使用API密钥将用户内容发送到第三方（OpenAI）应明确声明，以便用户可以做出明知的选择。
✓ 持久化与权限
该技能不请求始终在线的存在，不安装或修改其他技能，并且没有安装钩子。自动调用（disable-model-invocation: false）是平台默认值，并非此处的特殊特权。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/1/6
添加了详细的新闻来源和RSS源使用文档，包括BBC、路透社、NPR和阿尔杰齐拉的`curl`命令示例。- 澄清了获取、解析和总结新闻标题的工作流程，无论是作为文本还是使用OpenAI TTS的短音频。- 包括新闻总结的示例输出格式，按主题分组。- 提出了最佳实践：简洁报道（5-8个故事）、平衡的观点和引文指南。- 没有对技能逻辑进行功能性更改 — 仅文档。
● 无害
安装命令
点击复制官方npx clawhub@latest install news-summary
镜像加速npx clawhub@latest install news-summary --registry https://cn.longxiaskill.com
技能文档
概览
从可靠的国际源通过RSS源获取和总结新闻。RSS源
BBC（主要）
# 世界新闻 curl -s "https://feeds.bbci.co.uk/news/world/rss.xml" # 顶部故事 curl -s "https://feeds.bbci.co.uk/news/rss.xml" # 业务curl -s "https://feeds.bbci.co.uk/news/business/rss.xml" # 技术
curl -s "https://feeds.bbci.co.uk/news/technology/rss.xml"
路透社
# 世界新闻
curl -s "https://www.reutersagency.com/feed/?best-regions=world&post_type=best"
NPR（美国视角）
curl -s "https://feeds.npr.org/1001/rss.xml"
阿尔杰齐拉（全球南视角）
curl -s "https://www.aljazeera.com/xml/rss/all.xml"
解析RSS
提取标题和描述：curl -s "https://feeds.bbci.co.uk/news/world/rss.xml" |
grep -E "