Skill flagged — suspicious patterns detected
ClawHub Security flagged this skill as suspicious. Review the scan results before using.
Product Launch Radar
v1.0.0自动追踪行业产品发布动态，智能筛选高价值信息，按优先级推送决策者。
⭐ 0· 35·0 current·0 all-time
MIT-0
Download zip
LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.
Security Scan
Capability signals
These labels describe what authority the skill may exercise. They are separate from suspicious or malicious moderation verdicts.
OpenClaw
Suspicious
medium confidencePurpose & Capability
技能名称、描述、workflow 与 config 一致：聚合多源新闻、质量评分、优先级推送并支持定时/手动触发。依赖的三方技能（news-aggregator、content-quality-auditor、notify）匹配其职责。异常：SKILL.md 头部把 category 标为“图像”，与内容不符，可能是粘贴/元数据错误但应核实。
Instruction Scope
SKILL.md 与 workflow 指示会聚合外部站点、调用其他技能、生成并推送简报；这本身符合用途。但文档和 config 引用了外部通知 webhook（FEISHU_WEBHOOK_URL 占位符）与示例 API（需要 Authorization: Bearer），同时会将报告保存到 ./reports/*。尽管未出现明显的恶意外联，这些步骤会把聚合结果发送到外部端点且会在磁盘上写文件——应确认这些外部端点与凭据的真实意图与权限边界。
Install Mechanism
这是 instruction-only 技能，没有安装步骤或下载外部代码，风险较低。无二进制或 extract 操作。
Credentials
技能元数据声明不需要任何环境变量或凭据，但 config.yaml 明确使用 ${FEISHU_WEBHOOK_URL} 占位符并在示例中演示带 Bearer 的触发接口：说明实际运行需要外部通知凭据（webhook 或 token）。未在技能声明中列出这些环境变量/凭据是不一致且值得警惕的（可能只是文档疏漏，但会影响安全决策）。
Persistence & Privilege
always: false，默认可由用户或计划触发且允许模型自主调用（平台默认）。技能不请求始终常驻或修改其他技能/全局配置。它会写入相对路径 ./reports/*（正常行为），应确认写入位置和权限。
What to consider before installing
这个技能的功能描述与实际工作流大体一致，但存在几个小不一致点需要你确认：
- 验证外部通知凭据：config 使用 ${FEISHU_WEBHOOK_URL} 和示例的 Bearer token，但技能声明不要求任何环境变量。不要把敏感或高权限的 webhook/token 直接贴到公开位置；为飞书群创建单独的低权限 webhook 并限制接收内容。
- 检查依赖技能来源：技能依赖 news-aggregator、content-quality-auditor、notify 三个技能。确认这些技能来自可信仓库并审查它们会访问哪些凭据/端点（尤其是 notify）。
- 确认本地写入行为：默认会把报告保存到 ./reports/，决定是否允许写入该路径或改为更受控的位置；注意团队共享目录可能泄露聚合内容。
- 测试在沙箱：先在隔离环境或测试账号（模拟 webhook / 非生产邮箱）中运行几次，观察实际外联行为和请求的头/负载。
- 要求作者/发布方信息：技能源和 homepage 都为空（source: unknown）。如果你要在生产环境使用，要求技能发布者提供源码仓库或官方主页以便审计。
如果这些问题得到合理解释（例如仅是文档疏忽并且你为通知配置了隔离凭据），则此技能可视为功能一致；若发布者无法提供可信来源或 notify 依赖表现可疑，则不要在生产环境中安装或为其提供真实凭据。Like a lobster shell, security has layers — review code before you run it.
latestvk974fskayzg4dy3me5baqyypbh84rgxc
License
MIT-0
Free to use, modify, and redistribute. No attribution required.