Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
知行迭代
v1.0.0基于《实践论》的自我迭代系统。当需要自动整理记忆、反思改进、或创建新技能时使用。包含Heartbeat检查清单、Cron定时任务配置、和技能创建工作流。
⭐ 1· 78·0 current·0 all-time
by空城@kongchenga
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名称与描述（自我迭代、Heartbeat、Cron、技能创建工作流）与 SKILL.md 中的操作一致：读取/维护记忆文件、添加 Cron 任务、在重复需求时初始化/打包/安装技能。没有请求与描述不相关的外部凭据或二进制。
Instruction Scope
SKILL.md 明确指示读取 HEARTBEAT.md、memory/YYYY-MM-DD.md、MEMORY.md 并执行定时检查，这与其目的相关，但也要求代理‘模式识别（重复需求≥3次）’并在触发时设计/编写/打包/安装新技能——这是范围扩展，因其允许代理生成并安装可执行代码或技能包，且未说明人工确认流程或审计限制。还提到运行全局更新（clawdhub update --all），这可能引起对其他已安装技能的更改。
Install Mechanism
这是纯说明型技能，没有安装规范或下载步骤，未写入磁盘或从可疑 URL 提取代码，风险来源主要来自说明中调用的平台命令（openclaw cron add、clawdhub install/update）而不是外部安装脚本。
Credentials
技能不要求任何环境变量或凭据，说明中也未列出外部端点或秘密；不过其动作（更新/安装技能、访问会话历史和记忆文件）可能利用平台已有权限，用户应确认这些平台权限与预期一致。
Persistence & Privilege
虽然 always:false，默认允许模型自主调用（disable-model-invocation:false），结合指令中可自动触发的 Cron/Heartbeat 和‘自动创建并安装技能’的工作流，会使该技能在被允许自动执行时拥有较大影响力（例如自动安装或更新技能）。未提供人工确认或变更审计流程，增强了滥用或意外更改系统的风险。
What to consider before installing
这个技能本身是一个操作流程说明：它会让代理定期读取和整理记忆文件、添加定时任务，并在检测到重复需求时生成、打包并安装新技能。主要风险不是隐藏的恶意代码（说明里没有下载 URL 或外部脚本），而是功能范围：如果你允许代理自主执行，它可能在无人监督下创建或安装技能、执行“clawdhub update --all”等全局操作。安装前请考虑：
- 限制自动化权限：如果平台支持，禁止或要求人工批准技能创建/安装与全局更新操作。
- 审计与回滚：确保有日志记录和回滚机制（备份 .openclaw/cron 或已安装技能列表）。
- 本地脚本审查：如果你打算使用脚本（scripts/init_skill.py 等），先手动检查这些脚本的实现再运行。
- 最小权限：确保代理在执行这些工作流时仅能访问必需的记忆文件与工作区路径，且无权访问敏感凭据或其他技能配置。
如果你希望更高置信度评估，请提供：平台对代理自动安装/更新技能的权限设置、是否存在人工批准步骤、以及是否已有 scripts/ 目录或示例脚本供审查。Like a lobster shell, security has layers — review code before you run it.
latestvk9710gkk5r1yczj2gbntg68crs838204
License
MIT-0
Free to use, modify, and redistribute. No attribution required.