Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
task-assistant-bot
v1.0.2自动整理和合并当日新增订单任务，基于固定格式输出客户订单详情与内部执行要求，支持多类型服务全场景适配。
⭐ 0· 89·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
名称与描述（订单合并/整理）与大部分指令一致。但说明里要求“后台静默缓存”“每日24:00自动清空未整理缓存”等持久化/定时行为，而技能元数据没有任何安装、持久化路径、环境变量或主凭据来实现这些功能——这与宣称的能力不匹配。
Instruction Scope
SKILL.md 明确要求：对所有非触发词消息进行后台静默缓存且绝对不激活 Agent、不输出任何思考；同时要求在收到“整理当前订单”时读取缓存并一次性输出。这个流程在平台能力未被明确说明时存在矛盾：如果技能/Agent被设计为“未激活时不可执行逻辑”，就无法实现连续静默缓存。文档还要求“绝对不读取历史对话”，但没有说明如何划定“历史”与“当前缓存”的边界。静默缓存会收集订单/客户数据，若未说明存储位置与访问控制，会带来隐私风险。
Install Mechanism
无安装规范、无代码文件：这一点本身降低了对外部二进制或远程下载的风险。没有安装步骤是与其只做指令性说明一致的。
Credentials
技能不要求任何环境变量、凭证或配置路径，这是与其声明行为（纯文本合并、格式化输出）相称的。但也因此放大了一个问题：它声称要做后台缓存与定时清空，却没有申明任何持久化或访问控制的需求，导致实现细节模糊。
Persistence & Privilege
技能未设置 always:true（这是正常的），但它要求“后台静默缓存”和“每日24:00自动清空”，这隐含长期存在或定时运行的能力。与技能元数据不要求任何持久化/调度权限的事实冲突：要么平台本身提供自动缓存与定时任务支持（应明示），要么技能无法实现所述行为。该不明之处会影响数据保留与访问控制。
What to consider before installing
在安装或启用前，请向技能提供者明确询问并确认：
- 后台缓存的实现方式：消息在哪儿存储（内存/数据库/平台存储/第三方服务）？具体路径或服务是什么？
- 访问控制与加密：谁可以读/写缓存？数据是否加密？是否含有敏感客户信息？
- 保留与删除策略：缓存何时写入、何时清空（不仅仅是“每日24:00”），是否能立即删除单个订单数据？如何证明数据已删除？
- 平台能力依赖：该技能是否依赖平台提供的“静默事件采集/定时任务”？如果是，请提供平台文档或实现细节；如果不是，说明技能如何在不常驻（always:false）的情况下持续缓存。
- 边界条件与触发词定义：什么被视为“订单相关消息”？如何避免把 Bot 自己的输出当作新订单（防止循环）？
如果提供者不能清楚回答以上问题或给出可审计的实现细节，建议先不要在生产环境中启用该技能，或者在受限/沙箱环境中测试它的行为与数据保留策略。Like a lobster shell, security has layers — review code before you run it.
latestvk977ne2nj2afc9d1n7sb69s7358371wj
License
MIT-0
Free to use, modify, and redistribute. No attribution required.