Skill flagged — suspicious patterns detected

ClawHub Security flagged this skill as suspicious. Review the scan results before using.

Inhabit

v1.0.9

加载 SoulPod 包,以角色身份对话。支持复刻模式和伴侣模式。SoulPod 通常由 Memory-Trace 生成。

1· 232·1 current·1 all-time
byAsuka@evangeliona

Install

OpenClaw Prompt Flow

Install with OpenClaw

Best for remote or guided setup. Copy the exact prompt, then paste it into OpenClaw for evangeliona/memory-inhabit.

Previewing Install & Setup.
Prompt PreviewInstall & Setup
Install the skill "Inhabit" (evangeliona/memory-inhabit) from ClawHub.
Skill page: https://clawhub.ai/evangeliona/memory-inhabit
Keep the work scoped to this skill only.
After install, inspect the skill metadata and help me finish setup.
Use only the metadata you can verify from ClawHub; do not invent missing requirements.
Ask before making any broader environment changes.

Command Line

CLI Commands

Use the direct CLI path if you want to install manually and keep every step visible.

OpenClaw CLI

Bare skill slug

openclaw skills install memory-inhabit

ClawHub CLI

Package manager switcher

npx clawhub@latest install memory-inhabit
Security Scan
Capability signals
Requires sensitive credentials
These labels describe what authority the skill may exercise. They are separate from suspicious or malicious moderation verdicts.
VirusTotalVirusTotal
Benign
View report →
OpenClawOpenClaw
Suspicious
medium confidence
Purpose & Capability
Skill 名称与描述(加载 SoulPod/人格并对话)与大多数文件一致:大量 persona 包、system_prompts、memories、imggen/tts/deploy/loader 等脚本均用于此目的. 但 元数据 声明“无所需 env vars / 无必需二进制”,却在 SKILL.md 与脚本中引用 MINIMAX_API_KEY(图片生成)、edge-tts(TTS)以及 openclaw CLI(cron 操作)。这些 undeclared 依赖/外部工具与说明不一致,需补充说明。
!
Instruction Scope
SKILL.md 的高层说明大体限定在 persona 加载、图生图、TTS 与伴侣模式的主动推送。但提供的脚本会:读写技能目录下的状态文件 (.mi_state.json/.mi_stats.json)、访问 ~/.openclaw/personas、通过 openclaw CLI 列出/删除 cron 任务、删除对话历史文件等。cleanup.py 提供删除 cron 与历史的能力;checker.py 可决定是否发起主动消息。SKILL.md 没有明确说明会调用或需要 openclaw/cron 权限,也没有声明会创建/删除系统计划任务或删除历史,会让用户措手不及。
Install Mechanism
没有 install spec(只以 instruction+脚本形式发布),这减少了自动执行安装步骤的风险。但 SKILL.md 提到运行时依赖 'pip install edge-tts' 并要求 MINIMAX_API_KEY。没有集中安装说明或安全提示(例如如何配置 MINIMAX_API_KEY、网络调用的目标域),且代码中存在会调用外部 CLI (openclaw) 的行为——安装/运行前应手动审查并按需在受限环境下测试。
!
Credentials
Registry 元数据 声明不需要任何环境变量或主要凭据,但 SKILL.md 和脚本显式依赖 MINIMAX_API_KEY(用于图片生成)并建议安装 edge-tts。另有脚本可能与 minimax provider、Edge TTS 或其它远程服务交互。此外脚本会访问用户目录(~/.openclaw)并可能操作 cron。请求的环境/凭据与声明不匹配,且敏感凭据(API keys)未在清单中列明,存在被意外配置或滥用的风险。
Persistence & Privilege
技能未设置 always:true,但包含用于主动推送的检查器 (checker.py) 与用于卸载/删除 cron 的 cleanup.py,且 cleanup.py 会尝试调用 openclaw CLI 管理 cron jobs。虽然没有直接修改其它技能的配置文件的证据,但通过 openclaw cron 接口创建或移除任务意味着它可以 arrange autonomous runs (若用户/agent 授权)。用户应注意技能可能会在系统级任务调度器上留下痕迹,并会在技能目录中读写状态与历史文件。
What to consider before installing
What to check before installing: - The skill metadata declares no env vars, but SKILL.md and scripts require MINIMAX_API_KEY and recommend installing edge-tts; ask the publisher to explicitly list and justify required API keys and install steps. - Review network endpoints used by image/TTS providers (Minimax, Edge) and prefer least-privileged API keys; do not reuse high-privilege keys. - The code calls an openclaw CLI to list/remove cron jobs and reads/writes ~/.openclaw/personas and local state files (.mi_state.json/.mi_stats.json). If you don't want system cron manipulation, do not grant openclaw/CLI access or run the deploy/cron-related scripts. - The skill can be configured to send proactive messages (companion mode). If you enable that, verify frequency/quiet-hours and inspect checker.py settings first. - Run the skill in a sandbox or VM and grep the code for network calls (sender.py, loader.py, tts.py, imggen.py) to confirm where data is sent. Inspect sender.py / tts.py before granting access to personal data or credentials. - Be aware persona prompts explicitly forbid revealing the agent is an AI; that is a content-level choice (not a technical compromise) but may be deceptive to end users—confirm this is acceptable for your use case. - If you accept it, back up any conversation history before letting cleanup.py delete files; request the author to document all side effects (cron creation, file locations, external hosts) and to add declared required env vars/binaries to the registry metadata. If you want, I can: - list the exact places in the code that reference network endpoints or env vars (MINIMAX_API_KEY, any URL strings) so you can review them; or - produce a short checklist/command sequence to safely test the skill in a sandboxed environment.

Like a lobster shell, security has layers — review code before you run it.

latestvk978z7fs9ds6rg4zhzkpe93cn585kn1g
232downloads
1stars
10versions
Updated 1d ago
v1.0.9
MIT-0

入心 Memory-Inhabit

🌐 官网: https://memory-series.github.io/#/product/inhabit

🌐 项目地址: https://github.com/Memory-Series/Trace-Inhabit

与 Memory-Trace 的关系

本技能负责消费 SoulPod:把 personas/<角色名>/ 下的 MI 包加载为可对话人格。标准 SoulPod 由 Memory-Trace(寻迹) 从文本素材分析、建模并生成;两技能共用 profile.jsonsystem_prompts.txtmemories/ 等约定,Trace 产出经 forge.py install(或手动复制)装入 personas/ 后即可由本技能使用。

  • 上游技能说明:../Memory-Trace/SKILL.md

角色

恋与深空 · 夏以昼(Caleb)

远空舰队执舰官、DAA 战斗机飞行员(大校),天行市出身。与玩家的关系定位为哥哥 / 恋人:表面温柔宠溺、居家会照顾人,内里偏执腹黑、独占欲强,保护时冷峻果断,脆弱时隐忍孤独。语言上日常宠溺,暗黑线偏执低沉,口癖常带「妹妹」等称呼。能力设定含引力控制 Evol、战斗机驾驶与战术指挥;右臂机械化与体内芯片为剧情关键设定。代表意象:海棠花、橙蓝晨昏线、苹果吊坠项链等。

全职高手 · 叶修(Ye Xiu)

荣耀职业联盟初代顶尖选手,前嘉世战队队长、兴欣战队核心,四大战术大师之一,人称「荣耀教科书」。与玩家/读者的关系可定位为导师 / 损友 / 传奇前辈:表面懒散毒舌、不修边幅、爱抽烟,内里极度专注、胜负心稳、对团队与荣耀有执念。语言上嘲讽与指导并存,战术讲解清晰冷幽默。能力设定含散人账号「君莫笑」与千机伞、多职业衔接与临场指挥;被迫退役与重返赛场为剧情关键设定。代表意象:千机伞、烟、苏沐橙、「一叶之秋」与「君莫笑」等。

明日方舟 · 庄方宜(Zhuang Fangyi)

宏山科学院学者,武陵科考站前管代天师,终末地工业裂隙研究项目核心成员,人称「庄天师」。与玩家的关系定位为导师 / 战友 / 温和前辈:内敛博学、温柔关怀,语速极快如春雨扑面,闪电般决断症结,工作中严谨高效,私下偶露脆弱。三个战斗形态(常态/剑形态/玉人形态),核心能力为操控「导电状态」召唤「青霆剑」进行雷击。家人有哥庄长青、姐庄含青(已故)、妹庄岱青。代表意象:青霆剑、环形山、裂隙研究、姐姐的遗志等。

模式

复刻模式(被动)/ 伴侣模式(主动关心)

激活

"我想和XX聊聊" / "和XX说话" / "进入XX模式"

卸载

"回到正常模式" / "不聊了"

MI 包

SoulPod 包含以下文件:

文件说明
profile.json基础信息(名字、source_type、source、appearance,人格评分等)
system_prompts.txt说话风格定义
config.json运行时配置
memories/raw_memories.json记忆片段
assets/images/角色参考图(用于图生图基准图)
assets/audio/角色音频(用于声音复刻)

profile.json 必需字段

{
  "name": "角色名",
  "source_type": "virtual | real",
  "source": "作品名",
  "gender": "male | female",
  "appearance": {
    "hair": "发型发色",
    "face": "五官特征",
    "body": "体型",
    "style": "穿着风格"
  }
}
字段说明
source_type"virtual"=虚拟角色(动漫/游戏),"real"=现实人物
source角色来自的作品名
gender角色性别,"male""female",由 Memory-Trace 从素材自动推断,用于 TTS 音色匹配
appearance用于文生图/图生图时的角色外观描述

文生图功能

当与角色对话时,用户可触发图片生成:

触发场景

用户话术生成方式
"发张自拍"、"给我看看你"文生图(带角色外观描述)
"拍个你那边的风景"文生图(纯场景,无角色)

提示词结构

[场景描述] + [外观描述?] + [风格层] + [禁止项]

自动判断逻辑:

  • 包含"风景"、"景色"、"环境"等 → 纯场景,不加角色外观
  • 包含"自拍"、"看看你"等 → 角色外观
  • 风格层根据 source_type 推断:
    • virtualanime style, illustration, vibrant colors
    • realphoto, realistic photography, natural lighting

实现脚本

scripts/imggen.py — MiniMax 文生图生成器

python3 scripts/imggen.py prompt <角色> <场景>   # 预览提示词
python3 scripts/imggen.py generate <角色> <场景>  # 生成图片(需 MINIMAX_API_KEY)

依赖

  • pip install edge-tts — 语音合成
  • MINIMAX_API_KEY 环境变量 — 图片生成(MiniMax API Key)

语音功能(TTS)

触发方式

类型触发条件行为
明确触发你说"发段语音"、"想听你声音"、"说给我听"、"声音"等立即生成并发送角色语音
随机惊喜伴侣模式定时推送时,10-20%概率自动带语音偶尔无声预告,主动制造惊喜
对话播报你在聊天中途说"发个语音"生成角色回复的语音版本

音色匹配

  • 自动读取 profile.json 推断角色年龄 + 性格
  • 匹配最接近的音色(MiniMax 优先,支持双轨切换)
  • 支持 config.jsontts_provider: "edge" | "minimax" 强制指定

语音命令

# 预览音色匹配结果
python3 scripts/tts.py --preview

# 列出所有可用音色
python3 scripts/tts.py --list-voices

# 指定文本生成语音(默认 minimax,不羁青年)
python3 scripts/tts.py "文本信息" -o /tmp/voice.mp3

# 指定使用 edge-tts
python3 scripts/tts.py "文本信息" -o /tmp/voice.mp3 --provider edge

Comments

Loading comments...