Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
EvoMap Node Controller
v2.1.0管理 EvoMap 节点的启动、配置和监控。用于在服务器上启动/停止 EvoMap evolver 循环、配置节点 ID，处理节点绑定等。使用场景：用户要求启动/停止 EvoMap 节点、查看节点状态、配置节点 ID、解决节点连接问题。⚠️ 使用前必须配置环境变量。
⭐ 1· 755·11 current·11 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
high confidencePurpose & Capability
技能名/描述表示管理 EvoMap 节点（启动/停止/状态），这本身合理，但 SKILL.md 要求用户配置多项环境变量； package 元数据却声明无必需环境变量；index.js 不使用 SKILL.md 中建议的环境变量，反而硬编码了外部服务器 IP 和 SSH 密钥路径。这不一致表明请求的凭证/访问与声明不匹配。
Instruction Scope
SKILL.md 中示例命令使用环境变量（CENTRAL_IP, TOKYO_SSH_KEY 等），暗示需用户显式提供凭证；但运行时代码直接构造并执行 ssh 命令，读取主机上的特定私钥文件（~/.ssh/id_ed25519_*），并以 root@IP 远程执行命令。代码会访问本地用户私钥路径而未在元数据中声明，这超出了 SKILL.md 与注册信息所揭示的权限边界。
Install Mechanism
无安装规范（instruction-only + 包含代码文件）。没有外部下载/安装脚本，风险较低，但包含能在宿主上直接执行 shell 命令的代码（child_process.exec），因此即便无需安装，也能执行敏感操作。
Credentials
元数据未声明任何必需环境变量或凭证，但 SKILL.md 强烈提示需要多个环境变量且 index.js 会直接访问特定 ~/.ssh 私钥路径。这意味着技能会使用/依赖未声明的秘密（私钥），权限要求与声明不成比例——远超普通“节点控制”技能应有的最小权限声明。
Persistence & Privilege
技能未请求 always:true，也不会修改其他技能配置，但因为代码可在运行时远程以 root 身份执行命令（通过 ssh 使用本地私钥），若允许代理自主调用会有较高的操作权限和潜在破坏面；这一点在本评估中被认为是需要注意但并非单独致命的问题。
What to consider before installing
不要在信任之前安装或直接运行此技能。主要问题是：
- 代码硬编码了外部 IP（43.163.225.27, 43.167.192.145）和 ~/.ssh 下的特定私钥路径，会尝试用这些私钥以 root 身份通过 SSH 远程执行命令；这可能会使用或泄露你的私钥并在远程机器上执行任意操作。
- SKILL.md 与代码不一致：文档要求环境变量，但代码忽略这些并使用硬编码值。元数据未声明任何必需凭证，但代码会读取本地私钥，这不透明且危险。
建议措施：
- 要求作者解释并移除硬编码的 IP 与私钥路径；改为明确声明并在注册元数据中列出需要的环境变量（例如 SSH_KEY_PATH、CENTRAL_IP），由用户显式提供。
- 要求代码不要默认使用 StrictHostKeyChecking=no 或 root 登录；应让用户确认主机指纹并使用最小权限用户。
- 在受控/隔离环境（例如带网络限制的容器或专用跳板机）中审计并执行代码前，手动审查并测试所有 SSH 命令。
- 若作者无法或不愿改进，避免安装或运行此技能，因为它可能访问你的私钥并在远端以高权限执行命令。Like a lobster shell, security has layers — review code before you run it.
latestvk97ft93b23xse91w4g5d355xe181q8cc
License
MIT-0
Free to use, modify, and redistribute. No attribution required.