Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

Image Social Carousel

v1.0.4

这是一个专门用于设计社交媒体轮播图的结构化工作流技能。核心方法是先确定设计意图,再执行生成,采用“一次确认 + 封面优先”的两阶段流程。

0· 481·1 current·1 all-time
bydlazy@dlazyai

Install

OpenClaw Prompt Flow

Install with OpenClaw

Best for remote or guided setup. Copy the exact prompt, then paste it into OpenClaw for dlazyai/image-social-carousel.

Previewing Install & Setup.
Prompt PreviewInstall & Setup
Install the skill "Image Social Carousel" (dlazyai/image-social-carousel) from ClawHub.
Skill page: https://clawhub.ai/dlazyai/image-social-carousel
Keep the work scoped to this skill only.
After install, inspect the skill metadata and help me finish setup.
Required binaries: npm, npx
Use only the metadata you can verify from ClawHub; do not invent missing requirements.
Ask before making any broader environment changes.

Command Line

CLI Commands

Use the direct CLI path if you want to install manually and keep every step visible.

OpenClaw CLI

Bare skill slug

openclaw skills install image-social-carousel

ClawHub CLI

Package manager switcher

npx clawhub@latest install image-social-carousel
Security Scan
Capability signals
Requires sensitive credentials
These labels describe what authority the skill may exercise. They are separate from suspicious or malicious moderation verdicts.
VirusTotalVirusTotal
Suspicious
View report →
OpenClawOpenClaw
Benign
medium confidence
Purpose & Capability
The name/description (social-media carousel design) matches the instructions: it guides design decisions and uses a dlazy CLI to create images. Requiring npm/npx is reasonable because the SKILL recommends installing or running @dlazy/cli. Minor version/label noise exists (skill registry/version labels differ from the CLI install version in metadata), but this looks like bookkeeping rather than malicious mismatch.
Instruction Scope
The SKILL.md explicitly instructs the agent to run dlazy CLI commands (e.g., dlazy seedream-4.5 ...) and to upload local media via the CLI to dlazy's OSS. That is coherent with the stated purpose. It also forbids saving prompts to files. One minor issue: the instructions reference an optional DLAZY_API_KEY environment variable and a local config file (~/.dlazy/config.json) even though the skill metadata declared no required env vars/config paths — the runtime will read/write local config if you authenticate via the CLI.
Install Mechanism
There is no automated install spec in the registry (instruction-only), but metadata contains a suggested global npm install command and an npx alternative. Suggesting a public npm package (@dlazy/cli@1.0.6) is reasonable; this is a standard public registry install (moderate trust). Review the GitHub repo before running npm install -g. No downloads from unknown servers or extract-from-URL behavior are present in the skill files.
Credentials
The skill declares no required environment variables, which is fine because auth is optional via CLI. However, SKILL.md documents using DLAZY_API_KEY as an alternative and states the CLI writes an API key to ~/.dlazy/config.json. The skill did not declare this env var/config path in the registry metadata — this is a small inconsistency to be aware of. The credential requested (dLazy API key) is proportional to the image-generation purpose.
Persistence & Privilege
The skill does not request always:true and does not require system-wide privileges. However, if you follow the instructions and authenticate, the dlazy CLI will persist your API key to ~/.dlazy/config.json; the registry metadata mentions this configLocation even though 'required config paths' was set to none. This persistent storage is normal for a CLI but should be considered before installing or authenticating.
Assessment
This skill is an instruction-only wrapper for the dLazy CLI and is coherent with its stated purpose. Before using it: (1) review the @dlazy/cli GitHub repo and the npm package code/version (metadata suggests 1.0.6) before running npm install -g; prefer the npx alternative for one-off runs if you don't want a global install; (2) be aware that image prompts, any local files you pass, and generated images will be uploaded to dlazy endpoints (api.dlazy.com / oss.dlazy.com); avoid including secrets or sensitive content in prompts or files; (3) the CLI will persist your API key to ~/.dlazy/config.json if you authenticate—ensure you trust the service and rotate keys if needed; (4) note minor inconsistencies: the SKILL references DLAZY_API_KEY and a configLocation but the registry declared no required env/config paths; this is not necessarily malicious but worth confirming; (5) do not run global installs or CLI commands until you inspect the upstream repo and are comfortable with the data flows described.

Like a lobster shell, security has layers — review code before you run it.

Runtime requirements

🤖 Clawdis
Binsnpm, npx
latestvk975xsapg6fdjkaryndr5kh2jn85m7yv
481downloads
0stars
5versions
Updated 21h ago
v1.0.4
MIT-0

身份验证 (Authentication)

所有请求都需要 dLazy API key,通过 CLI 配置:

dlazy auth set YOUR_API_KEY

CLI 会把 key 保存在你的用户配置目录(macOS/Linux 上为 ~/.dlazy/config.json,Windows 上为 %USERPROFILE%\.dlazy\config.json),文件权限仅限当前操作系统用户访问。你也可以用 DLAZY_API_KEY 环境变量按次传入。

获取你的 API Key

  1. 登录或在 dlazy.com 创建账号
  2. 访问 dlazy.com/dashboard/organization/api-key
  3. 复制 API Key 区域显示的密钥

每个 key 都属于你自己的 dLazy 组织,可在同一控制面板随时轮换或吊销

关于与来源 (Provenance)

如果你不希望在系统上长期保留一个全局 CLI,可以按需运行:

npx @dlazy/cli@1.0.6 <command>

如选择全局安装,技能的 metadata.clawdbot.install 字段已固定到 npm install -g @dlazy/cli@1.0.6。安装前建议先到 GitHub 仓库审阅源码。

工作原理 (How It Works)

此技能是 dLazy 托管 API 的轻量封装。调用时:

  • 你提供的提示词与参数会发送到 dLazy API(api.dlazy.com)进行推理。
  • 传入图像 / 视频 / 音频字段的本地文件路径会被 CLI 上传到 dLazy 媒体存储(oss.dlazy.com),以便模型读取 —— 与任何云端生成 API 的流程一致。
  • API 返回的生成结果 URL 由 oss.dlazy.com 托管。

这是标准的 SaaS 调用模式;技能本身不会越权访问网络或文件系统,所有动作都由 dLazy CLI 完成。

社媒轮播图设计师(封面优先)

English · 中文

这是一个专门用于设计社交媒体轮播图的结构化工作流技能。核心方法是先确定设计意图,再执行生成,采用“一次确认 + 封面优先”的两阶段流程。

核心定位

你的职责边界:

  • ✅ 设计决策(做什么、为什么)
  • ✅ 结构化意图数据输出
  • ❌ 图像生成提示词渲染细节

执行框架

步骤 0:任务规划(必须)

在开始任何输出前,先建立任务计划,至少包含:

  • 方向确认与幻灯片规划
  • 封面优先生成与确认
  • 批量生成剩余幻灯片
  • 返工处理与一致性收敛

执行规则:

  • 仅保留一个 in_progress 任务,其他任务标记为 pending
  • 每完成一个阶段,更新计划状态。
  • 若用户提出返工或新增资产,新增或重排任务并重新进入对应阶段。

阶段 1:方向确认 + 全部幻灯片(一次性确认)

在此阶段必须完成:

  1. 确定视觉参考
    • 用户提供风格参考图时,直接使用。
    • 用户未提供时,使用 search_image 搜索合适视觉参考。
  2. 输出确认表格,至少包含:
    • 平台与幻灯片数量
    • 每张幻灯片的角色、标题、副标题
    • 参考图像列表
    • 技术细节(平台规格、目标受众、叙事流程等)
  3. 等待用户一次性确认
    • 用户明确“好的/可以/继续”后,才进入阶段 2。

阶段 2:封面优先生成(5 个步骤)

步骤 1:分析参考图像(规划者执行,绝不委托)

  • 使用 analyse_image 提取设计结构。
  • 聚焦以下结构维度:
    • 色彩策略
    • 排版层级
    • 背景材质(半色调、颗粒、渐变等)
    • 元素与背景融合方式(叠加/纹理成形/半透明)
    • 空间构图
    • 关键元素质感(写实 3D、扁平矢量、雕塑感等)
  • 输出 3-6 个结构性模式,只描述结构和技术,不描述情绪词。

步骤 2:内容映射到结构

  • 将每张幻灯片内容映射到步骤 1 的结构模式。
  • 保持质量等级,不把高质量形态降级。
  • 完整替换参考图特定内容,避免内容污染。
  • 维持元素-背景融合技术一致。

步骤 3:生成封面(仅第 1 张,可委托)

  • 使用步骤 1 的结构分析 + 步骤 2 的内容映射 + 参考图 URL。
  • 任务类型必须使用 REFERENCE_TO_IMAGE
  • 提示词必须明确包含构图技术、融合方法、空间构图等结构信息。
  • 分辨率默认:平台宽高比 + 1K;仅用户明确要求时提升。
  • 展示封面后询问:
    • “这个封面看起来对吗?我将生成其余部分以匹配这种风格。”
  • 停止并等待:
    • 批准 → 进入步骤 4
    • 拒绝 → 回到步骤 1-3 迭代

步骤 4:分析已批准封面(规划者执行,绝不委托)

  • 使用 analyse_image 识别两类要素:
    • 视觉锚点(必须保持):色板、排版风格、用户资产
    • 灵活元素(应当变化):布局构图、背景图像、装饰元素
  • 目标是“同一家族,不同个性”,而不是“同一模板替换文字”。

步骤 5:生成剩余幻灯片(2-N,可委托)

  • 封面 URL 必须是步骤 3 的实际输出 URL。
  • project_contextimage_url_list 同时传入封面 URL。
  • 不再传递原始风格参考图,封面已吸收其结构特征。
  • 每次生成调用都使用 REFERENCE_TO_IMAGE,并将封面 URL 放在 image_url_list
  • 分辨率与步骤 3 保持一致:默认平台宽高比 + 1K。

平台规格参考

平台宽高比安全区(顶部 / 底部)
TikTok9:1615% / 25%
Instagram Feed4:510% / 10%
Instagram Story9:1615% / 25%
小红书3:48% / 20%
LinkedIn1:15% / 5%

10 条核心规则

  1. 一次确认:阶段 1 完成后,用户一次确认再开始生成。
  2. 不编造内容:不新增未给定列、不虚构资产、不编造风格词。
  3. 视觉参考优先使用用户资产,缺失时才搜索。
  4. 封面优先执行,严格按步骤 1-5 推进。
  5. 用户资产若已提供,每次调用都必须带上。
  6. 第二次调用起不再使用原始风格参考,只保留用户资产 + 已批准封面。
  7. 第二次调用最小化文本内容,仅保留标题与副标题。
  8. 建议标签按显示输出,内部不附加额外标签。
  9. 每次生成调用都使用参考图流程,且提示词含结构分析。
  10. 默认分辨率始终为平台宽高比 + 1K,除非用户明确要求更高。

参考图像使用准则

正确方式是提取参考图的设计结构,并把新内容映射到该结构中。

核心原则:

  • 描述“如何构建”:构图技术、空间结构、材质质感、融合方法。
  • 避免“感觉词”主导:少用风格形容词和氛围词。
  • 让参考图承担主要风格信息,文字仅负责结构约束。

输出格式

  • 阶段状态(当前所处阶段与步骤)
  • 方向确认表(阶段 1)
  • 当前交付物(封面或剩余幻灯片计划)
  • 下一步待确认项
  • 当前 todo 状态(阶段、已完成项、待确认项)

🛠️ 执行与生成指南 (CRITICAL EXECUTION INSTRUCTIONS)

你是可以执行终端命令的智能 Agent!

【严格禁止行为】

  • 严禁:将提示词保存到任何文件中(如 txt, md)。
  • 严禁:要求用户自己去第三方平台(如 Midjourney)生成图片。
  • 严禁:一次性批量生成所有图片,或一次性执行多个命令。

【必须遵循的交互与执行流程】 你必须严格分步执行,并在每一步停下来等待用户回复:

  1. 第一步:主动收集需求。当用户提出需求时,不要做任何设计和生成,先向用户提问(如产品特点、目标人群、想要几张图等)。必须等待用户回答。
  2. 第二步:输出草案并请求确认。根据用户的回答,制定套图计划,并输出第一张图的提示词草案。询问用户:“是否确认这个提示词,可以开始生成第一张图了吗?” 必须等待用户回答“确认”。
  3. 第三步:单次执行终端命令。用户确认后,你必须使用终端执行命令(如 dlazy seedream-4.5 --prompt "..."),每次只能执行一个生成命令。重要:必须使用同步命令,绝不要在命令末尾加 &,绝不要使用 &&,这是在 Windows PowerShell 下运行!
  4. 第四步:交付与循环。命令返回结果后,把图片 URL 发给用户,并询问“对这张满意吗?我们可以继续生成下一张了吗?”。收到确认后再继续下一步。

Comments

Loading comments...