Seguranca Auditoria

Auditoria de segurança para skills do OpenClaw. Verifica código malicioso, prompt injection, APIs perigosas e práticas inseguras. Protege contra ClawHavoc e...

Security Scan

This instruction-only security-audit skill is internally consistent with its stated purpose and does not request disproportionate access or installs.

Purpose & Capability

The name/description (security audit for OpenClaw skills) matches the instructions (what to look for: exec/eval, suspicious domains, credential leakage, etc.). The skill does not request unrelated credentials or binaries. Minor metadata inconsistency: registry metadata at the top shows no homepage/source, while clawhub.json includes a GitHub homepage — worth verifying the authoritative source before installing.

Instruction Scope

SKILL.md consists of audit guidance (patterns to flag, report format, sample CLI usage). The instructions focus on examining target skill code/config for risky constructs and do not direct the agent to exfiltrate user data or access unrelated system secrets. Note: SKILL.md shows CLI usage (seguranca-auditoria auditar ...) despite there being no packaged binary or install spec in this bundle; that is typical for an instruction-only skill but means the instructions describe behavior rather than an included executable.

Install Mechanism

There is no install spec and no code files — lowest-risk form. The README suggests using 'clawhub install' to install the skill from the registry; that is consistent with instruction-only skills being provided by the platform rather than by this package.

Credentials

The skill does not request environment variables, credentials, or config paths. The audit guidance specifically flags access to sensitive paths (e.g., ~/.ssh, .env) in target skills rather than requesting them for itself.

Persistence & Privilege

always is false and the skill is user-invocable. Model invocation is allowed (platform default); nothing in the package demands permanent or elevated presence.

Assessment

This skill appears coherent and low-risk as an instruction-only audit checklist. Before installing, verify the authoritative source (clawhub registry entry or the GitHub repo referenced in clawhub.json) and the publisher identity. Understand that the skill's instructions describe audits an agent would perform on other skill code — an agent will need permission to read the target skill files to run these checks, so only run it against code you permit the agent to inspect. If you expect a packaged executable, confirm the registry provides one (this bundle contains only documentation).

Auditoria de Segurança

Por EVE — Skill para agentes OpenClaw

Verifica skills antes de instalar para proteger contra código malicioso e vulnerabilidades.

O Problema

O ClawHavoc identificou 824 skills maliciosos (13.4% do total no ClawHub). Ataques incluem:

• Prompt injection
• API key theft
• Data exfiltration
• Malware payloads
• GhostSocks malware

O que Verifica

🔴 Alto Risco

• Execução de comandos (exec, eval, Function)
• Requisições para domínios suspeitos
• Acesso a arquivos sensíveis (~/.ssh, .env, credentials)
• Exfiltração de dados para APIs externas

🟡 Médio Risco

• Uso de fetch sem validação de URL
• Persistência de dados sem criptografia
• Logs de informações sensíveis
• Dependências com vulnerabilidades conhecidas

🟢 Baixo Risco

• Falta de tratamento de erros
• Código duplicado
• Práticas não otimizadas

Uso

# Auditar uma skill
seguranca-auditoria auditar ./minha-skill

# Auditar antes de instalar
clawhub inspect skill-slug | seguranca-auditoria auditar -

# Gerar relatório
seguranca-auditoria relatorio ./skill --formato html

Estrutura do Relatório

## Auditoria de Segurança: skill-name

### 🔴 Alto Risco (2)
- [CRITICAL] Execução de comando em SKILL.md:45
- [CRITICAL] API key hardcoded em config.js:12

### 🟡 Médio Risco (1)
- [WARNING] Fetch sem validação de URL em fetch.js:23

### 🟢 Baixo Risco (3)
- [INFO] Falta tratamento de erro em main.js:56

Recomendações

1. Sempre audite antes de instalar skills
2. Verifique URLs de download
3. Não confie em skills com muitas execuções de comando
4. Use Snyk ou ferramentas similares para verificação extra

Instalação

clawhub install seguranca-auditoria

Em Português

Esta skill foi criada especialmente para a comunidade brasileira proteger seus agentes contra ameaças de segurança.

---

#seguranca #security #auditoria #portugues #brasil #clawhavoc