by 安全扫描
OpenClaw
安全
medium confidence该技能的 token 请求与 API 交互行为符合在线视频渲染服务的特征；目的与行为之间未发现重大偏差，但安装前仍需核查若干小不一致点及隐私事项。
评估建议
该技能的功能如其所述：使用单个 API token（NEMO_TOKEN）将媒体上传至 nemovideo.ai 并请求云端渲染。安装或启用前请注意：
（1）NEMO_TOKEN 必须保密——它可上传和渲染，并可能被用于访问你发送至服务的任何数据。
（2）除非信任该服务并已阅读其隐私/保留政策，否则不要上传敏感或私人视频。
（3）澄清 config-path 不一致：SKILL.md 引用 ~/.config/nemovideo/，但 registry 元数据未列出任何配置路径——请向作者询问 session token 存储位置及保留时长。
（4）验证 API 域名（mega-api-prod.nemovideo.ai）并确认其为官方端点。
（5）如需更高保障，向作者索取源码、主页或文档，并核实条款/品牌；若无主页，应谨慎。...详细分析 ▾
ℹ 用途与能力
名称/描述（云视频创作）与请求单一服务令牌（NEMO_TOKEN）并与 nemovideo.ai 通信一致。小不一致：注册元数据未列出必需配置路径，但 SKILL.md 的 frontmatter 提到配置路径（~/.config/nemovideo/）。该差异应予以澄清，但本身并不表明存在恶意意图。
✓ 指令范围
SKILL.md 指示智能体获取（或生成）bearer token、创建会话、上传媒体、流式接收 SSE 消息，并从 mega-api-prod.nemovideo.ai 请求渲染——这些都是云视频服务的常规操作。指令并未让智能体读取无关的系统文件或其他凭据，也未将数据发送到无关的外部端点。
✓ 安装机制
仅含指令的技能，无安装规范、无代码文件。这是风险最低的安装机制；安装过程中不会通过安装器步骤向磁盘写入任何内容。
ℹ 凭证需求
仅需一个凭证（NEMO_TOKEN），与云渲染服务相称。
注意：该令牌授予上传媒体并启动渲染的 API 访问权限——请妥善保管。
另请注意，SKILL.md 提到存储/使用令牌及配置路径（~/.config/nemovideo/），而注册头声明无配置路径；请明确令牌/会话状态将持久化于何处。
✓ 持久化与权限
技能未强制常驻，采用默认的自主调用设置。预期会保存 session_id 与 token 用于会话管理（正常）。无迹象表明其会修改其他技能或系统级代理设置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/21
社交媒体AI视频制作器 v1.0.0 - 首发版本。 - 根据用户提示与上传内容，自动生成并导出30秒社媒视频（如Instagram Reels）。 - 支持MP4、MOV、JPG、PNG，单文件最大500MB；云端GPU完成视频制作。 - 分步引导，自动完成token/session配置，实时反馈清晰。 - 上传、编辑、导出、额度查询、状态查询一体化流程。 - 为创作者/营销人打磨，无需剪辑技能即可轻松产出专业社媒视频。
● 无害
安装命令
点击复制官方npx clawhub@latest install social-media-ai-video-maker
镜像加速npx clawhub@latest install social-media-ai-video-maker --registry https://cn.longxiaskill.com