Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
会议纪要助手
v1.3.1会议纪要与会议播报生成技能。用于处理会议录音或转写文本，执行发言人区分、口语降噪、议题重构、双钻结构整理，并输出执行摘要、核心决议、Markdown待办表格、TTS播报稿和会议思维导图（HTML/SVG/XMind）。支持双向语音能力：录音转文本（ASR）与文本转录音（TTS）。用户提到“会议纪要”“录音转文字”...
⭐ 0· 187·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
Capability signals
These labels describe what authority the skill may exercise. They are separate from suspicious or malicious moderation verdicts.
OpenClaw
Suspicious
medium confidencePurpose & Capability
Skill 名称与描述一致地实现了会议录音转写、说话人区分、纪要重构、TTS 与导图生成；脚本集合（audio_bridge.py、generate_*、doctor.sh 等）与描述的能力直接对应。唯一不一致之处是 registry metadata 显示“无必需环境变量”，但 SKILL.md 与脚本会引用/检测 OPENAI_API_KEY、OPENAI_ASR_MODEL、OPENAI_TTS_MODEL、MEETING_TTS_EDGE_VOICE、MEETING_OUTPUT_DIR 等环境变量作为可选/覆盖项。总体上所请求的依赖（edge-tts、ffmpeg、whisper 或 OpenAI）与功能需求相称。
Instruction Scope
SKILL.md 强制了许多运行约束：默认自动执行、禁止显示部分日志、写入并优先使用特定路径（~/clawdhome_shared/private/<skill>-data）、只允许输出三件交付物并自动清理中间文件、首次运行必须执行安装/自检并在安装过程中周期性心跳等。这些指令会驱动脚本在宿主用户主目录和 /tmp 下创建/删除文件、执行安装命令（pip/brew）、并可能触发网络调用到外部 ASR/TTS 服务。虽然这些行为可以合理解释为技能需求，但它们扩大了运行时权限范围并减少了用户可见性（如禁止显示执行日志、中间文件自动清理），值得人工审查并在受控环境中运行。
Install Mechanism
技能为 instruction-only（无预置 install spec），这本身风险较低。但脚本（bootstrap_macos.sh、doctor.sh 等）会在首次运行或被调用时尝试使用 brew / pip 安装依赖（edge-tts、ffmpeg、openai-whisper）。这些安装步骤不是通过受信任的包发布流程由平台统一安装，而是由脚本触发执行，存在常见 install 风险（自动执行外部包安装、依赖版本/来源未锁定）。没有发现下载任意可执行档案的外部 URL，但 vendor/generate_mindmap_clawhub.py 很大（134KB）——应审阅其实现以确认无隐藏网络/执行行为。
Credentials
注册表里声明“无必需环境变量”，但 SKILL.md 与脚本明确会使用或检测多项环境变量: OPENAI_API_KEY（cloud fallback）、OPENAI_ASR_MODEL、OPENAI_TTS_MODEL、MEETING_TTS_EDGE_VOICE、MEETING_OUTPUT_DIR，以及会在 HOME 下创建 ~/clawdhome_shared 等路径。请求的环境访问与 ASR/TTS 功能相关，属比例内；但因为环境变量会控制回退到云服务（OpenAI），用户应确保只在受信任环境下提供密钥并避免在聊天中明文粘贴密钥。
Persistence & Privilege
技能不会声明 always:true；但脚本会在 HOME 下创建状态目录（~/.meeting-notes-skill）和输出目录（~/clawdhome_shared/private/...），并在首次运行写入 marker。这些行为是为本地缓存/状态与输出管理合理的，但代表持久文件写入权限。技能不会修改其他技能的配置。仍建议评估并限制这些目录的写入权限或在隔离环境中运行首次检测/安装。
Scan Findings in Context
[unicode-control-chars] unexpected: 静态扫描在 SKILL.md 中发现 unicode 控制字符，这可能用于隐藏或混淆指令（prompt-injection 风险）。技能文档本身已经包含大量严格运行指令；任何隐藏/不可见控制字符都可能使模型或演示环境误解释文本。建议人工打开 SKILL.md 并删除或可视化这些字符，确认没有被植入隐藏指令。
What to consider before installing
这是一个有功能完整的本地会议纪要/播报技能，但在安装和首次运行前请注意以下几点：
- 审阅 SKILL.md 和所有脚本（尤其是 vendor/generate_mindmap_clawhub.py）以确认没有你不期望的网络请求或隐藏指令；注意预扫描报告里提到的 unicode 控制字符，建议用可视化文本编辑器查看并移除不可见字符。
- 首次运行会在你的主目录下创建状态与输出目录（~/clawdhome_shared/private/<skill>-data、~/.meeting-notes-skill）并可能写入/删除中间文件；如需最小化影响，请在隔离或受控的环境（虚拟机、容器、临时用户）中测试。
- 脚本会尝试帮助安装依赖（pip / brew / ffmpeg）——自动安装会修改本地环境。仅在你信任这些安装来源并愿意安装 edge-tts、ffmpeg、openai-whisper 时才允许自动安装；否则手动审查并按需安装。
- 如果你要使用云回退（OpenAI），只在安全环境中通过环境变量配置 OPENAI_API_KEY；切勿在聊天或对话里以明文提供 API Key。
- 如果担心数据泄露，重点审查 audio_bridge.py 与 vendor 脚本中是否存在外部 HTTP/HTTPS 请求或将文本/音频数据发送到未声明的端点；在未确认前避免在生产音频/敏感会议上使用该技能。
总之：功能与所需脚本大体一致，但存在可见的潜在隐蔽指令与自动安装/写盘行为，建议人工审查并在受控环境中试运行后再在日常工作环境中启用。Like a lobster shell, security has layers — review code before you run it.
action-itemsvk975dtpekhwmh7qtfh94k88qkx84nwryasrvk975dtpekhwmh7qtfh94k88qkx84nwrychinesevk975dtpekhwmh7qtfh94k88qkx84nwrylatestvk972re62qx52zzrhtzn330pgjh84sjgvmeeting-notesvk975dtpekhwmh7qtfh94k88qkx84nwrymindmapvk975dtpekhwmh7qtfh94k88qkx84nwryproductivityvk975dtpekhwmh7qtfh94k88qkx84nwryttsvk975dtpekhwmh7qtfh94k88qkx84nwry
License
MIT-0
Free to use, modify, and redistribute. No attribution required.