Security audit
Security checks for vulnerabilities and agentic risk
This skill is a disclosed daily viral-content radar that uses web/TikTok search and a configured delivery channel, with no bundled executable code, but users should notice the email-versus-Telegram inconsistency before installing.
Install only if you are comfortable with the skill reading the F100K config, using your niche and keywords for external searches, optionally using Apify when APIFY_TOKEN is available, and delivering the resulting digest through the configured channel. Before relying on it, clarify whether this OpenClaw version should send via Telegram or create a Gmail draft, because both behaviors appear in the instructions.
Las frases de activación son muy amplias y cercanas al lenguaje cotidiano, lo que puede disparar la skill por accidente o por manipulación dentro de una conversación normal. En un skill que realiza búsquedas externas y prepara/envía resultados automáticamente, una activación no intencional puede causar acciones no deseadas y exposición de datos contextuales.
La skill anuncia envío automático por email/Telegram de contenido derivado de configuración y búsquedas sin una advertencia visible ni confirmación contextual del usuario. Eso crea riesgo de exfiltración inadvertida de datos personales o estratégicos, especialmente porque usa email, voice_profile, niche y otros datos del archivo de configuración.
En L015 se afirma explícitamente que el email con Gmail se reemplaza por un mensaje de Telegram en esta versión. Sin embargo, L180-L247 siguen definiendo la ejecución principal como creación de draft con mcp__claude_ai_Gmail__create_draft, usando config.email y confirmando 'Radar enviado', lo que contradice el comportamiento descrito para esta variante del skill.
La nota introductoria para OpenClaw establece que el contenido ya no se envía por Gmail sino por Telegram. Más adelante, el documento instruye paso a paso a usar Gmail MCP para crear un draft dirigido a config.email, lo que es una contradicción directa entre secciones del propio archivo y no una mera omisión.
La regla del guion exige "Español neutro (no argentino, no regional)", lo que fuerza una preferencia de idioma/locale concreta. No se ofrece opción para respetar la variante lingüística del usuario ni se justifica como restricción regional o de cumplimiento.
