Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能声明的“日常维护 / 状态检查 / 记忆流动 / 复盘”等职责与 SKILL.md 中要求读取身份、记忆与日志文件、列出技能并汇总状态的步骤一致。没有发现与描述不相关的外部服务或额外依赖。
Instruction Scope
运行说明明确要求使用内置工具（read, write, exec, list_skills 等）读取 IDENTIY.md、SOUL.md、USER.md、MEMORY.md 以及每日日志等文件，并比较 TOOLS.md；这些操作在语义上属于“维护”，但它们会访问大量工作区文件（可能包含敏感信息）。此外说明建议使用环境变量 WORKSPACE，但该环境变量在技能元数据的 requires.env/primaryEnv 中并未声明——按平台评估规则，这类未声明的环境访问应被注意。
Install Mechanism
这是纯说明型技能（无安装规范、无代码文件），因此不在系统上写入或执行外部下载，安装机制风险低。
Credentials
技能未声明需要任何凭据或配置路径（requires.env 为空），这与其描述基本一致。但运行说明会读取工作区默认路径或 WORKSPACE 环境变量（未声明），并访问可能包含个人数据或令牌的文件（IDENTITY.md、USER.md、MEMORY.md 等）。虽然这些读取与‘自我复盘/记忆流动’目的有关，但它们可能暴露敏感信息，建议确认这些文件的内容和权限。
Persistence & Privilege
技能没有设置 always:true，也不包含写入其他技能或全局配置的指令。默认允许模型自主调用（平台默认），但该行为本身并未在技能中被滥用。
What to consider before installing
这个技能总体上做的事与它的说明一致，但在安装前请注意：
- 它会读取工作区内的身份、用户、记忆和日志文件（IDENTITY.md、USER.md、MEMORY.md、memory/YYYY-MM-DD.md 等）。在这些文件中可能包含私人数据或 API 密钥——请先审查并移除任何敏感内容，或在受限的测试工作区中运行。
- SKILL.md 提到通过环境变量 WORKSPACE 指定路径，但该环境变量未出现在技能元数据的声明中；确保 WORKSPACE 的值安全并且仅指向你愿意让技能访问的目录。
- 虽然没有外部安装或第三方下载，说明允许使用 exec 等工具，理论上可以执行工作区内命令；首次运行建议以手动触发并在监控下运行，观察其具体读/写行为。
- 如果你担心自动化访问敏感文件，考虑：手动运行而非配置为自动心跳；把敏感文件移出默认工作区或加密；或者要求技能作者在元数据中明确列出所需的环境变量与权限。
如果你能查看/审计这些被读取的文件内容并控制 WORKSPACE，这个技能可以被认为功能对口，但在未确认文件内容前不要在含敏感数据的生产工作区自动运行。Like a lobster shell, security has layers — review code before you run it.
latestvk978eass3hshnwge604pk5ckzh835h15
License
MIT-0
Free to use, modify, and redistribute. No attribution required.