Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
ai-daily-report
v1.0.0AI领域日报生成工具，支持飞书机器人消息格式；当用户需要生成AI行业日报、整理AI动态或分析AI资讯时使用
⭐ 0· 25·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
Skill 名称与说明（生成 AI 领域日报、输出飞书消息格式）与 SKILL.md 的运行流程和输出格式一致；然而 registry metadata 未声明任何必需的环境变量或二进制依赖，但 deploy-guide 与示例代码明确使用 OpenAI 客户端（OPENAI_API_KEY）并建议安装 flask 等依赖，二者不一致。总体目的合理，但声明的信息不完整。
Instruction Scope
SKILL.md 明确限定仅采集过去24小时内的公开资讯并直接在对话中输出，未指示读取本机敏感配置或进行数据外发；但它假定代理有能力主动“搜索、筛选、交叉验证”网页内容（访问多个外部站点），这依赖于运行时是否提供联网/浏览工具。说明细节充分但对运行时权限/工具的假设没有在 manifest 中体现。
Install Mechanism
Skill 是 instruction-only（registry 中无 install spec），这降低了直接写盘/执行远程二进制的风险；但 deploy-guide 建议 pip install flask openai、ngrok 暴露等操作，并推荐使用第三方平台（Coze、Dify），这些安装与第三方服务的使用实际会引入软件与外部托管依赖，未在清单中声明。
Credentials
Registry 显示“Required env vars: none”，但 deploy-guide 和示例代码显式要求 OPENAI_API_KEY（并通过环境变量传递）。这是直接不一致：如果按示例部署需要 API 密钥，则 manifest 未声明会导致用户在不知情情况下提供凭据。另有对 Coze/Dify 等第三方平台的推荐，可能要求额外凭据或将数据发往第三方，进一步增加敏感信息暴露风险。
Persistence & Privilege
Skill 没有请求 always:true，未声明要修改其他 skill 或系统配置，也没有声明长期驻留或访问其他 skills 的配置路径。user-invocable 与允许模型自治调用为默认行为，未见额外特权请求。
What to consider before installing
该 Skill 的功能本身（生成面向飞书的 AI 行业日报）与说明一致，但清单与部署文档存在显著不一致：
- 清单未声明任何环境变量，但 deploy-guide 代码示例使用 OPENAI_API_KEY（以及建议 pip 安装 openai、flask、使用 ngrok 等）。在部署前请确认是否需要提供 API 密钥／第三方凭据，并只使用权限最小的密钥（例如仅允许调用必需的模型或仅在特定域名下有效）。
- 如果按示例将服务暴露到公网（ngrok、Webhook），请确保启用飞书签名验证（X-Lark-Signature 等），并把回调地址限制为可信域名，避免把密钥硬编码在代码或公开仓库中。
- 使用 Coze/Dify 等第三方平台时，请阅读其隐私/数据使用政策，确认日报内容与来源会不会被第三方缓存或用于模型训练，避免泄露内部/敏感信息给第三方。
- 在安装前要求作者或发布者把 manifest 更新为准确声明所需的环境变量和依赖（例如明确列出 OPENAI_API_KEY、推荐 SDK、所需网络访问权限），并提供可信的主页或源码仓库以便审计。
综上：如果你打算使用此 Skill，先与发布方确认实际运行需求并使用安全的部署方式；在未核实清单与部署说明一致前，不建议将高权限或长期有效的凭据供给此 Skill。Like a lobster shell, security has layers — review code before you run it.
latestvk975v72b56nt741pdd00ya9qy18461ky
License
MIT-0
Free to use, modify, and redistribute. No attribution required.