Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
Openclaw Aligenie Genie
v1.0.2OpenClaw Agent 通过云服务器与天猫精灵双向通信的技能。触发时机：(1) 用户要求与天猫精灵通信或接收天猫精灵消息时 (2) 配置天猫精灵与 OpenClaw 的连接时 (3) 天猫精灵发送指令到 OpenClaw 需要处理时。
⭐ 0· 48·0 current·0 all-time
by@axelhu
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名、描述和代码（genie_client.py）一致地实现了 OpenClaw ↔ 天猫精灵 的代理功能；所需运行参数（server URL、agent id、API key）与目的相符。但 registry 元数据 声明“无需环境变量/凭据”，与 SKILL.md/示例不一致（SKILL.md 明确要求 ALIGENIE_SERVER、ALIGENIE_API_KEY、ALIGENIE_AGENT_ID），这是记录不准确或遗漏。
Instruction Scope
SKILL.md/DEPLOY.md 指示注册、心跳、长轮询并示例化将 API Key 和 server URL 用于远程云服务器；DEPLOY.md 还示例使用特定 SSH 私钥路径进行 scp、并建议将 HTTP 端口 58472 对 0.0.0.0/0 开放。示例中出现的公网 IP（101.43.110.225）和开放端口作为默认/示例会鼓励将敏感凭据发送到第三方主机或暴露服务到互联网，增加被滥用或窃取的风险。
Install Mechanism
技能为 instruction-only，客户端为纯 Python 文件（无自动安装脚本），这是较低风险。DEPLOY.md 建议下载 sqlite-jdbc 等二进制并在远端 Windows 服务器上编译/运行 Java 服务，涉及把文件写入远端并配置开机任务——这些是手动操作，风险取决于你部署并信任的服务器与二进制来源。
Credentials
运行需要 ALIGENIE_SERVER/ALIGENIE_API_KEY/ALIGENIE_AGENT_ID（SKILL.md 和 genie_client.py 支持这些），这些凭据对实现功能是合理的，但 registry 却没有声明它们，导致权限和凭据未被平台清晰呈现。另有风险点：示例建议将 API Key 与 agent 注册到示例公网IP，若该服务器非用户自有，则可能导致凭据泄露或被滥用。
Persistence & Privilege
技能默认不是 always:true，且允许用户显式启动心跳/轮询线程（长期向云端发起出站连接）。这意味着一旦运行，客户端会持续与配置的服务器通信——这是实现长期代理所需的，但也扩大了若服务器不受信任时的攻击面。
What to consider before installing
要点和建议：
- 元数据与文档不一致：注册表显示“无环境变量”，但实际需要 ALIGENIE_SERVER/ALIGENIE_API_KEY/ALIGENIE_AGENT_ID；不要依赖 registry 的缺省声明，按 SKILL.md 操作前先确认。
- 切勿使用示例的公网 IP/第三方服务器除非你完全信任并控制该主机。示例中的 101.43.110.225 仅为示例 ——不要把你的真实 API Key 或私钥上传到不明主机。
- 部署时限制访问：如果你部署服务器，避免将 58472 端口对 0.0.0.0/0 开放；只允许必要的源 IP 或使用 VPN/反向代理/HTTPS 及认证策略。
- 验证服务器代码：DEPLOY.md 建议在远端运行自建 AligenieServer（Java）。在把客户端指向任何服务器之前，审查并自行部署该服务的源码或使用受信任的托管。
- 密钥管理：给 agent 的 API Key / pushKey 应最小权限（只包含 push/poll），并设置过期与可撤销策略，避免长期明文放置在环境变量里。
- 若你不能自行审计并部署服务器，则将技能视为高风险并避免安装或向其提供真实凭据。
综上：技能功能与目的基本对齐，但文档示例和部署指引包含不安全的默认/示例（公网 IP、开放端口、示例使用私钥路径），在信任并使用前需核实并改正这些点。Like a lobster shell, security has layers — review code before you run it.
latestvk973tkgvkta2s6zmax01cwwpjh840nc9
License
MIT-0
Free to use, modify, and redistribute. No attribution required.