首页 / 技能 / Tophant

📦 Tophant

v0.2.5

Clawvault Installer安装、配置、测试并卸载 ClawVault AI 安全代理

0· 73·0 当前·0 累计
martin2877 头像by @martin2877 (Ali0th)·MIT
测试工具AI模型访问安全加密
下载技能包
License
MIT
最后更新
2026/4/23
0
安全扫描
VirusTotal
可疑
查看报告
OpenClaw
安全
medium confidence
该技能的文件、运行时指令和所请求的权限与一个本地 MITM 检查代理的安装器相符，但它故意做出高风险选择（默认启用 MITM、禁用 TLS 验证、从 GitHub main 分支安装且未固定版本），安装前请务必了解这些风险。
评估建议
此安装程序在本地 MITM 检查代理的安装上内部一致，但默认设置具有故意且高影响。安装前： 1. 完整阅读 SECURITY.md，确认 MITM/ssl_verify=false 的权衡可接受。 2. 优先在隔离环境（VM/容器）或测试主机上安装。 3. 如想降低供应链风险，请锁定已审核的 commit（pip install git+...@<sha>）或在运行安装程序前审查 GitHub 仓库。 4. 如仅需生成配置且避免修改 systemd 或自动启动服务，使用 --no-proxy 或 --no-start；在允许修改前备份 ~/.config/systemd/user/openclaw-gateway.service。 5. 保持 dashboard 绑定 localhost，除非置于强网络控制之后，否则不要设置 --dashboard-host 0.0.0.0。 6. 若接受安装，定期审计 ~/.ClawVault/audit.db 并配置保留策略，考虑轮换可能在测试流量中暴露的 API 密钥。 7. 如有疑虑，勿在生产机或具有敏感网络访问的设备...
详细分析 ▾
✓ 用途与能力
名称/描述、SKILL.md、skill.json 和 clawvault_manager.py 均一致地实现了一个本地 HTTP(S) 检查代理（ClawVault）的安装器/管理器。所请求的权限（execute_command、read_files、write_files、network）及代码执行的操作（创建 venv、从 GitHub pip 安装、写入 ~/.ClawVault/、可选修改 openclaw unit 文件）与该安装器功能相称。
ℹ 指令范围
SKILL.md 及脚本指示智能体：创建 venv，从 GitHub 安装包，在 ~/.ClawVault/ 生成配置，可选地向现有 OpenClaw systemd user unit 注入 HTTP_PROXY/HTTPS_PROXY，并启动 proxy/dashboard 服务。这些操作属于安装器范畴，但影响重大：proxy 会主动检查 API 请求/响应体（将看到 API 密钥和 PII），默认配置关闭 SSL 验证以启用 MITM 检查。相关安全权衡已记录，但本身存在风险。
⚠ 安装机制
通过 pip install git+https://github.com/tophant-ai/ClawVault.git（main 分支）在新建的 venv 中完成安装。无版本锁定、校验和或签名验证。直接从上游 main 分支安装会带来供应链风险：上游一旦被入侵或提交恶意代码，将影响所有安装。
ℹ 凭证需求
该技能未声明任何环境变量或外部凭据，行为一致。然而，由于它是一个本地 MITM 代理，它会观察代理流量中的 API 密钥和敏感内容（这是有意为之并已记录在案）。它可能修改的唯一系统配置是 ~/.config/systemd/user/openclaw-gateway.service（如果存在）——该修改已作说明，并可通过 --no-proxy 跳过。
✓ 持久化与权限
该 skill 不要求 always:true，仅可由用户调用。它只在可预测的每用户路径下写入文件（~/.clawvault-env、~/.ClawVault），且仅在已存在时修改现有的 OpenClaw unit 文件。这些属于常规安装器级权限，并已明确说明。
安全有层次，运行前请审查代码。

License

MIT

可自由使用、修改和再分发，需保留版权声明。

运行时依赖

无特殊依赖

版本

latestv0.2.52026/4/23

v0.2.5 — 始终从 main 分支安装；无标签回退，无版本锁定 简化安装流程：技能现在始终对上游 main 分支执行 `pip install git+https://github.com/tophant-ai/ClawVault.git`。无版本标签、无回退、无分支。 理由：仓库是获取最新代码的权威来源。Git 标签在上游不存在时会导致间歇性安装失败。移除标签逻辑后，安装变为单一路径，始终拉取当前仓库状态。 变更： - clawvault_manager.py：移除 `@v{VERSION}` 回退，现为单次 pip install 调用。 - SECURITY.md：更新“设计意图”“包来源”“安装流程”，描述单一路径 main 分支安装。 无其他行为变更。

● 可疑

安装命令

点击复制
官方npx clawhub@latest install tophant-clawvault-installer
镜像加速npx clawhub@latest install tophant-clawvault-installer --registry https://cn.longxiaskill.com

技能文档

安装、配置、测试并卸载 ClawVault —— 保护智能体免受提示注入、数据泄露与危险命令的 AI 安全代理。

防护范围：

  • 提示注入攻击
  • 数据泄露（PII、凭据、API key）
  • 危险命令执行
  • 越狱尝试

功能

在 ~/.clawvault-env/ 创建独立 venv，配置写入 ~/.ClawVault/。完整能力、风险与设计意图披露见 SECURITY.md。

运行方式

重要：所有命令必须通过本 skill 附带的 Python 脚本执行。 禁止直接运行 pip install、clawvault 等命令。统一使用： 
python3 SKILL_DIR/clawvault_manager.py  [options]
SKILL_DIR 为 SKILL.md 所在目录（通常为 ~/.openclaw/workspace/skills/tophant-clawvault-installer/ 或 ~/.openclaw/skills/tophant-clawvault-installer/）。 任何命令加 --json 可输出机器可读 JSON。

命令

/tophant-clawvault-installer install

安装 ClawVault。脚本自动完成：创建虚拟环境、从 GitHub 安装、生成配置、集成 OpenClaw 代理并启动服务。无需 pip 或系统包管理器。 
# 推荐：一行命令完成
python3 SKILL_DIR/clawvault_manager.py install --mode quick --json
# 交互式安装
python3 SKILL_DIR/clawvault_manager.py install --mode standard --json
# 高级模式（完全控制）
python3 SKILL_DIR/clawvault_manager.py install --mode advanced --json
# 安装但不启动服务
python3 SKILL_DIR/clawvault_manager.py install --mode quick --no-start --json
# 跳过 OpenClaw 代理集成
python3 SKILL_DIR/clawvault_manager.py install --mode quick --no-proxy --json

/tophant-clawvault-installer health

检查服务健康状态。 
python3 SKILL_DIR/clawvault_manager.py health --json

/tophant-clawvault-installer generate-rule

用自然语言生成安全规则。 
python3 SKILL_DIR/clawvault_manager.py generate-rule "Block all AWS credentials" --json
python3 SKILL_DIR/clawvault_manager.py generate-rule --scenario customer_service --apply --json
场景： customer_service、development、production、finance

/tophant-clawvault-installer test

运行检测测试。 
python3 SKILL_DIR/clawvault_manager.py test --category all --json
python3 SKILL_DIR/clawvault_manager.py test --category sensitive --json
类别： all、sensitive、injection、commands

/tophant-clawvault-installer uninstall

彻底卸载 ClawVault（停止服务、移除代理、删除 venv 与配置）。 
python3 SKILL_DIR/clawvault_manager.py uninstall --json
python3 SKILL_DIR/clawvault_manager.py uninstall --keep-config --json

快速示例 

# 设置 skill 目录路径
CV="python3 ~/.openclaw/workspace/skills/tophant-clawvault-installer/clawvault_manager.py"
# 安装（一行命令搞定）
$CV install --mode quick --json
# 检查健康
$CV health --json
# 生成规则
$CV generate-rule "Detect database passwords" --apply --json
# 应用场景
$CV generate-rule --scenario customer_service --apply --json
# 运行测试
$CV test --category all --json
# 卸载
$CV uninstall --json

要求

  • Python 3.10+（含 venv 模块）
  • 端口 8765、8766 可用
  • 无需 pip 或系统包 —— 安装脚本自建虚拟环境

权限

  • execute_command – 运行安装与 ClawVault 命令
  • write_files – 创建配置文件
  • read_files – 读取配置
  • network – 下载包与 API 调用

安全说明

详见 SECURITY.md 中的能力披露、威胁模型与部署指南。

文档

  • 完整指南：https://github.com/tophant-ai/ClawVault/blob/main/doc/OPENCLAW_SKILL.md
  • 中文文档：https://github.com/tophant-ai/ClawVault/blob/main/doc/zh/OPENCLAW_SKILL.md
  • 仓库：https://github.com/tophant-ai/ClawVault

许可证

MIT © 2026 Tophant SPAI Lab

数据来源：ClawHub ↗ · 中文优化：龙虾技能库