Back to skill
Skillv1.0.0
ClawScan security
实时资讯观点博客写作助手 · ClawHub's context-aware review of the artifact, metadata, and declared behavior.
Scanner verdict
BenignApr 12, 2026, 3:20 PM
- Verdict
- Benign
- Confidence
- medium
- Model
- gpt-5-mini
- Summary
- 该 skill 的说明、工作流和运行指令总体上与“写实时资讯观点博客”的目标一致，但有若干实现细节（运行时依赖、动态安装与截屏行为）值得注意并在部署前确认。
- Guidance
- 要点与建议： - 一致性检查：SKILL.md 建议使用 npx/playwright 等工具，但元数据未声明必需二进制；在部署前确认运行环境是否已安装 node/npx/playwright，或要求技能作者在元数据中声明这些依赖。 - 动态安装风险：文档中使用 npx 意味着运行时可能从 npm 拉取并执行代码。若你担心供应链或远端包可信度，请在受控环境预先安装并锁定版本，或审查将被安装的包。 - 法律与隐私：技能会截取并保存第三方网页和社媒内容。确保你不会截取需要登录才能访问的私人页面或未经允许使用受版权保护的内容；在发布引用/截图前做合规与著作权核查。 - 验证输出：技能强调“真实引用和截图”，但仍需人工复核引用是否真实、截图是否截取正确来源，避免错误引用或伪造内容。 - 如果你需要更严格控制：让技能作者在元数据中声明必需的可执行文件和可选的安装步骤，或在容器/受限沙箱内运行以限制动态网络安装与文件写入。
Review Dimensions
- Purpose & Capability
- noteSKILL.md 的功能描述（多源检索、引用社媒观点、自动截图、输出 Markdown + 配图）与“资讯观点博客写作助手”目的相符. 但说明中明确引用并建议运行 npx/playwright 等工具，而技能元数据未声明任何必需二进制或环境变量——这是一处实现说明与元数据的不一致（可能是遗漏，但值得确认）。
- Instruction Scope
- note运行指令限定在 web 搜索、抓取公开信息和对网页做自动化截图，未要求读取用户本地文件或环境凭据，整体范围与写作目标匹配。需要注意的是：截图与抓取会访问第三方网页（X/HN/Reddit/知乎/官方文档），若这些页面需要登录或包含私人信息，可能涉及隐私/合规问题；SKILL.md 要求“真实引用和截图”，这使得代理在运行时会保存并输出第三方内容。
- Install Mechanism
- note该 skill 为 instruction-only，未包含安装规范（风险较低）。但文档建议用 npx/playwright 等命令进行截图——这意味着运行时可能通过 npx 动态下载安装并执行第三方 npm 包。动态从网络拉取并执行工具有一定风险（依赖远端包的完整性与可信度），建议在受控环境中运行并预装或审查相关工具。
- Credentials
- ok没有要求任何环境变量或凭据，所需权限与技能目的相称。SKILL.md 也未指示访问用户凭据或其它技能的配置。
- Persistence & Privilege
- okflags 显示 always:false，技能不会被强制常驻；默认的模型调用未被禁用（这是正常）。技能也不要求修改其他技能或系统配置。