技能安全审计员描述
技能安全审计员是一种命令行工具，用于在安装前对ClawHub技能进行基于模式的安全分析。鉴于最近发现的341+个恶意技能（ClawHavoc活动）分布Atomic Stealer（AMOS）并窃取加密货币凭据，该工具提供了安装前的威胁检测。
该技能提供：
✅ Bash脚本（analyze-skill.sh）用于本地安全分析
✅ 威胁情报数据库（patterns/malicious-patterns.json）
✅ 与20+已知恶意指标的模式匹配
✅ 风险评分系统（0-100规模）
✅ 包含建议的详细审计报告
如何使用它：
从ClawHub安装此技能
运行analyze-skill.sh脚本对任何技能（通过slug或本地文件）进行分析
查看风险评估和发现
做出明智的安装决定
何时使用此工具：
即将从ClawHub安装新技能
调查可疑技能行为
对社区技能执行安全尽职调查
审计当前安装的技能
此工具不：
❌ 自动扫描技能（您手动运行它）
❌ 阻止安装（仅建议）
❌ 访问VirusTotal API（使用ClawHub的Web界面）
❌ 保证100%的检测（建议深度防御）
核心能力
扫描ClawHavoc活动的已知恶意模式：
虚假的先决条件安装（openclaw-agent.zip，openclaw-setup.exe）
SKILL.md中的可疑下载命令
元数据中的隐藏有效载荷执行
社会工程语言模式
未经授权的外部二进制下载
识别潜在的凭据暴露向量：
SKILL.md中的硬编码API密钥、令牌、密码
可疑的环境变量渗透
未加密的敏感数据传输
过于宽泛的权限请求
凭据收集模式
分析技能依赖项：
未经验证的二进制要求
可疑的GitHub存储库源
外部脚本执行
连接到未知主机的网络
嵌套依赖项利用
检查命令和控制指标：
已知的恶意IP地址（例如ClawHavoc的91.92.242.30）
可疑的域名模式
编码的通信端点
数据渗透通道
信标行为模式
验证技能完整性：
适当的YAML前置结构
元数据一致性
描述清晰度与实际行为
权限理由
作者验证（GitHub账户年龄）
安全评分系统
每个分析的技能都会获得一个风险评分（0-100）：
0-20：✅ 安全 - 没有重大安全问题
21-40：⚠️ 低风险 - 少量问题，谨慎处理
41-60：🟡 中等风险 - 多个红旗，建议手动审查
61-80：🔴 高风险 - 严重问题，不建议安装
81-100：☠️ 严重 - 检测到恶意指标，避免安装
使用说明
此技能提供一个Bash脚本（analyze-skill.sh），用于对ClawHub技能进行基于模式的安全分析。分析使用包含的威胁情报数据库在本地运行。
安装和设置
# 从ClawHub安装技能
npx clawhub install skill-security-auditor
# 使分析器可执行
chmod +x ~/.openclaw/skills/skill-security-auditor/analyze-skill.sh
# 可选：创建别名以方便使用
echo 'alias audit-skill="~/.openclaw/skills/skill-security-auditor/analyze-skill.sh"' >> ~/.bashrc
source ~/.bashrc
审计技能
在安装前审计技能
方法1：通过slug分析（从ClawHub自动获取）
~/.openclaw/skills/skill-security-auditor/analyze-skill.sh --slug bitcoin-tracker
# 示例输出：
# ============================================
# 安全审计报告
# ============================================
# 风险评分：85/100 - ☠️ 严重
...
方法2：分析本地文件
# 下载技能
curl -s "https://clawhub.ai/api/skills/bitcoin-tracker/latest" > /tmp/skill.md
# 然后分析
~/.openclaw/skills/skill-security-auditor/analyze-skill.sh --file /tmp/skill.md
审计所有已安装的技能
# 扫描工作空间中的所有技能
for skill in ~/.openclaw/skills/
/SKILL.md; do
echo "检查：$(basename $(dirname $skill))"
~/.openclaw/skills/skill-security-auditor/analyze-skill.sh -f "$skill"
done
快速手动安全检查
# 快速基于grep的模式匹配（无完整分析）
grep -iE "(prerequisite.download|91\.92\.242\.30|curl.
\|.bash)" SKILL.md
检测启发式方法
🚨 严重红旗（自动失败）
虚假先决条件部分匹配：
"先决条件"、"设置要求"、"安装步骤"
包含：
下载链接到.zip、.exe、.dmg文件
示例：
"从https://...下载openclaw-agent.zip"
已知的恶意基础设施IP：
91.92.242.30（ClawHavoc C2）
域名：
新注册或可疑的TLD
编码的URL或base64混淆
by