Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
Peace Evolution
v1.0.0和平之种迭代评审Agent。自动执行 jury-review 评审流程，根据评审反馈优化 HTML 游戏，生成新版本并发送给用户。触发词：peace迭代、和平评审、游戏优化、评审生成。
⭐ 0· 86·0 current·0 all-time
by@kukuxnd
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
声明的目的：自动化对 peace_*.html 的 jury-review 并生成新版本。这与 SKILL.md 中列出的文件读取、评审、生成流程一致。问题在于它声称会“通过 Feishu 发送新版本通知”并“根据 jury-review 技能执行评审”，但清单中没有声明任何 Feishu 凭据或对 jury-review 技能的依赖。缺少这些声明使得能力请求与目的之间存在不一致。
Instruction Scope
运行指令明确要求列出并读取 /root/.openclaw/workspace/peace*.html（ls、read）。访问工作区中匹配的 HTML 文件与任务相关，但使用绝对 /root 路径和直接文件读取意味着技能会访问代理的本地文件。更重要的是，指令要求将结果“通过 Feishu 发送”，但没有说明如何认证或发送目标；这暗含外部数据传输（需要凭据或网络调用）却未被具体化或限制。SKILL.md 还假定存在另一个技能（jury-review），但没有声明依赖或回退策略。
Install Mechanism
这是一个 instruction-only 技能（无安装规格、无代码文件），因此没有在本地下载或安装第三方软件的风险。没有写盘或可执行安装过程，这降低了直接供给恶意二进制的风险。
Credentials
技能需要进行外部通知（Feishu），但 requires.env 列表为空且未声明任何 API_KEY、TOKEN 或回调配置。这是不成比例的：要将生成的文件发送到 Feishu，通常需要 Feishu 应用凭据或 webhook URL（敏感）。缺少这些声明意味着凭据必须由代理外部提供或由代理在运行时寻找，这增加了凭证滥用或未被用户知晓的外发行为风险。
Persistence & Privilege
flags 显示 always: false，技能不会被强制常驻；disable-model-invocation 为 false（默认）意味着代理可以按需调用它，这是平台默认行为并非单独风险。技能也没有声明要修改其他技能或系统范围配置，因此在持久性/特权方面没有明显过度请求。
What to consider before installing
该技能表面上是用于读取工作区中的 peace_*.html、运行评审并生成新版 HTML，这与其描述基本一致。但有三点需要你确认：1) Feishu 发送未声明任何凭据或 webhook —— 在安装前确认技能如何获得并使用 Feishu 凭据（不应自动去搜寻或要求你把敏感 token 放到不明位置）；2) SKILL.md 假定存在名为“jury-review”的另一技能，但未声明依赖或回退，确认你的代理环境是否有该技能或技能如何执行评审；3) 技能会读取 /root/.openclaw/workspace 下的文件，确保该目录不包含敏感数据，或在沙箱环境中先测试其行为。建议向发布者索要：a) Feishu 发送的实施细节（需要哪些 env 或 webhook、发送目标）；b) 如何调用 jury-review（接口/输入/输出）；c) 一个权限最小化的运行示例。若发布者不能提供明确答复或要求你提供凭据而不解释用途，建议不要安装或仅在隔离环境中测试。Like a lobster shell, security has layers — review code before you run it.
latestvk97bw2ntnkp3g1j00tq0bq9f7h8381fs
License
MIT-0
Free to use, modify, and redistribute. No attribution required.