Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
AI律师标准技能包
v1.0.0提供AI律师团队协作全球标准v1.8的客户评估、实施导航、培训生成、合规检查和ROI计算全自动化支持。
⭐ 0· 46·0 current·0 all-time
by张律师@sealawyer2026
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名/描述与代码中实现的评估、实施导航、培训、合规检查和ROI计算模块大体一致；所包含的五个模块文件与 SKILL.md 列举的能力一一对应，因此目的与能力总体匹配。但 package.json 列出了 openai 和 axios 依赖（暗示外部 API 调用），而 SKILL.md、manifest 和注册元数据没有声明需要任何 API 凭证或环境变量，这与可见代码意图存在不一致。
Instruction Scope
SKILL.md 的运行指令为捆绑技能描述，未显式要求系统凭证或外部端点，但源码中多处会访问本地文件路径（例如期望存在 AI律师团队协作全球标准-v1.8.md 等标准文件），这些标准文件未包含在包清单中；此外代码会读写本地文件系统（fs-extra），这在技能描述中未特别强调。总体上，指令/说明并未充分反映源码对本地文件依赖与潜在外部 API 的使用。
Install Mechanism
包为 instruction-only 安装规范（无安装脚本），但实际上包含 package.json 和 Node.js 源文件，使用者若运行需自行 npm install，这会拉取 openai、axios、fs-extra 等依赖。没有提供受信任的安装源或 release URL，但依赖来自公开 npm（常见但需注意）。无远程下载/可疑 URL 被发现。
Credentials
package.json 列出的 openai 和 axios 暗示代码可能会调用外部服务（OpenAI），但 SKILL.md 和 skill 清单并未声明需要任何环境变量（例如 OPENAI_API_KEY）。这是不一致且值得警惕的信号：如果确有对外 API 调用，包在声明中没有请求或说明如何安全提供凭证。
Persistence & Privilege
没有设置 always:true，也没有声明修改其他技能或系统全局配置的行为。模块只读写本地文件（fs-extra），没有请求长期驻留或提升特权的声明。
What to consider before installing
要点与建议（非技术人员也能理解）：
1) 不要直接在生产环境运行这个包。包里有多个明显的编码错误（会导致程序报错或崩溃），且引用了一些不存在的本地标准文件。运行前应在隔离/沙箱环境测试。
2) 注意未声明的外部依赖：package.json 引用了 openai 和 axios，这意味着代码可能会调用外部 API。SKILL.md 却没有说明需要任何 API 密钥或环境变量（例如 OPENAI_API_KEY）。在提供任何密钥之前，先确认并审查会调用外部服务的具体代码位置与用途。
3) 代码质量低且未充分注释：我在 roi-calculator 等文件中发现语法/逻辑错误（例如对象字面量中出现“= 29.92万/月” 之类不可执行的表达式、模板中多处残缺或未定义变量），这表明包可能未经充分测试。要求作者修复并提供可运行的示例和单元测试。
4) 缺失外部/本地资源：合规检查器和评估器尝试读取名为 AI律师团队协作全球标准-v1.8.md 的本地标准文件，但该文件不在清单里。确认作者提供完整标准文本或调整代码以不依赖未提供的文件。
5) 验证作者与来源：SKILL.md 给出的联系人和 GitHub 链接应被核实（源被标为 unknown）。在信任并投入敏感法律/合规数据前，要求作者提供可信仓库地址、提交历史和维护者信息。
6) 若需要运行：
- 在隔离环境（虚拟机或容器）中执行 npm install 与脚本测试；
- 打开代码查找任何网络请求（axios、openai 调用位置），确认目的与目的地；
- 不要把任何真实客户数据或秘密（如 API 密钥、客户隐私数据）投入到未经审计的脚本中；
- 要求作者修复语法/逻辑错误并提供清晰的 README、示例输入/输出和测试样例。
总体结论：这个技能包的目标是合理且与描述一致，但实现中存在多个不一致和潜在风险点——在作者修复并说明网络/凭证使用之前，把它视为“需要进一步审查”的不可靠包。Like a lobster shell, security has layers — review code before you run it.
ai-legalvk9787y3jvxfv0x3tmq4gg1b9dd83s36gassessmentvk9787y3jvxfv0x3tmq4gg1b9dd83s36gcompliancevk9787y3jvxfv0x3tmq4gg1b9dd83s36ggovernmentvk9787y3jvxfv0x3tmq4gg1b9dd83s36gimplementationvk9787y3jvxfv0x3tmq4gg1b9dd83s36glatestvk9787y3jvxfv0x3tmq4gg1b9dd83s36groivk9787y3jvxfv0x3tmq4gg1b9dd83s36gstandardvk9787y3jvxfv0x3tmq4gg1b9dd83s36gtrainingvk9787y3jvxfv0x3tmq4gg1b9dd83s36g
License
MIT-0
Free to use, modify, and redistribute. No attribution required.