Back to skill
Skillv1.0.0
ClawScan security
舆情监测智能体V2 · ClawHub's context-aware review of the artifact, metadata, and declared behavior.
Scanner verdict
BenignMar 24, 2026, 10:02 AM
- Verdict
- benign
- Confidence
- high
- Model
- gpt-5-mini
- Summary
- 这个技能的代码与运行说明与其“每日科技新闻爬取与推送”目的基本一致，没有发现与功能不符的权限或隐蔽行为。
- Guidance
- 该技能在功能、文档与代码之间总体一致：它会用搜索工具抓取指定来源的新闻、按文档中的评分规则过滤并生成 H5 页面，然后通过平台的 message 工具推送。你 should: (1) 确认你的运行平台为该技能提供或已配置飞书（Feishu）推送凭证与 Web 访问权限；技能本身不包含或请求 Feishu 密钥；(2) 在首次运行前审阅 generate_html.py 输出与模板，确保其中不包含你不想公开的内部数据或未消毒的外部链接；(3) 如果平台允许技能自主上网，评估是否可控（例如限制爬取域名/频率）；(4) 确认消息推送目标（飞书用户/群组）与组织安全策略一致。总体来看没有发现与其描述不符的恶意行为，但在把它接入带有敏感数据或自动推送到生产群组的环境前，先做一次小规模测试并确认凭证由可信的平台机制托管。
Review Dimensions
- Purpose & Capability
- note技能名称/描述、SKILL.md、config.md、scoring.md 与 generate_html.py 的功能一致：爬取五类新闻、评分、生成 H5 并推送。唯一需要注意的轻微不一致是文档中要求“推送至飞书（Feishu）”但技能没有声明任何飞书相关环境变量或凭证；这可能依赖平台提供的 message 工具/凭证管理，而非技能本身请求凭证。
- Instruction Scope
- okSKILL.md 指定了明确步骤（使用 batch_web_search 搜索、按 scoring 计算过滤、用 generate_html.py 生成页面、通过 message 工具推送）。指令没有要求读取与任务无关的系统文件或秘密，也未指示向未声明的第三方发送数据。
- Install Mechanism
- ok无安装规范（instruction-only 附带一个 Python 脚本），没有下载或执行来自不明 URL 的外部二进制，风险较低。generate_html.py 是本地脚本，内容可审计。
- Credentials
- note技能不请求任何环境变量或凭证，这一般是良好信号。但因 SKILL.md 要求推送到飞书且提到使用 batch_web_search 和 message 工具，实际运行需要平台层面的 Web 访问和消息推送凭证；如果平台不会自动提供这些权限/凭证，管理员需配置 Feishu 凭证或确认 message 工具的授权来源。
- Persistence & Privilege
- okflags 显示 always:false，技能不会被强制常驻，也未请求修改其它技能或全局配置。默认允许模型调用（正常），没有超出合理范围的持久化特权。