Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
draw-paper
v1.0.0从论文解析文件中逐图读取Prompt，调用Gemini生成科研结构图并保存到固定目录
⭐ 0· 25·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名与描述（从论文解析各图 Prompt，调用 Gemini 生成并保存科研图）与运行时指令大体一致——读取本地文件、分图、调用 Gemini、保存图片，这是预期功能。但 SKILL.md 要求使用 MCP 控制浏览器和固定本地路径（/home/xie/桌面/...），这些运行时依赖并未在元数据中声明（例如未列出需要浏览器控制工具或指定的配置路径），造成不一致。
Instruction Scope
指令明确要求读取本地文件夹 /home/xie/桌面/analysis 下的文件并把生成图片写入 /home/xie/桌面/images，且禁止修改这些路径——这是高权限的文件访问。指令还会把论文内容作为 Prompt 发给 Gemini（外部模型/服务），可能导致未公开论文或敏感信息被上传并泄露；但 SKILL.md 未提示或征求用户同意，也未在元数据中声明这一外部数据流。
Install Mechanism
无安装脚本（instruction-only），没有下载或第三方包写盘行为，这减少了直接代码植入的风险。
Credentials
元数据列出了“无需要的环境变量与配置路径”，但 SKILL.md 强制使用具体的本地路径（/home/xie/...），这是隐含的环境/权限需求且未声明。此外，技能会把本地文件内容发送到外部 Gemini 服务（未列入任何隐私或凭证声明），属于对外数据传输，风险需用户确认。
Persistence & Privilege
技能没有设置 always:true，也不要求修改其他技能或系统级配置；默认的自主调用权限未被滥用性地提升。
What to consider before installing
该技能会自动读取并上传本地论文文件中的内容到外部 Gemini（通过浏览器自动化），并在硬盘上写入到固定目录 (/home/xie/桌面/...)。在安装/启用前请考虑：
- 路径硬编码：SKILL.md 禁止修改固定路径且使用具体用户目录（/home/xie/...），与注册表中“无需要的配置路径”不一致；确认这些路径存在且愿意授予访问权限，或要求技能改为接受可配置路径或提示用户输入。
- 数据泄露风险：技能会把论文文本作为 Prompt 发往 Gemini（外部服务），可能泄露未发表或敏感数据；如内容敏感，勿在不受信任的外部服务上上传，或要求本地/离线替代方案。
- 环境依赖未声明：SKILL.md 依赖 MCP（浏览器控制/自动化接口），但元数据没有声明需要该工具或权限；确认你的代理运行环境支持安全的浏览器自动化并了解其权限范围。
- 运行前测试：先在非敏感的示例文件上手动或在隔离环境运行，确认行为符合预期（不会访问其他路径或发送额外数据）。
基于上述不一致与潜在数据外发风险，我建议在提供明确可配置路径、增加隐私/consent 步骤、并在元数据中声明浏览器自动化依赖前将其视为可疑。Like a lobster shell, security has layers — review code before you run it.
latestvk978z35tb06at4j4f63zp04xjh84qttq
License
MIT-0
Free to use, modify, and redistribute. No attribution required.