# ClawHub Skill 安全扫描机制

**Sources**：
- [raw/clawhub-security-scan-xiangqin-2026-04-23.md](../../raw/clawhub-security-scan-xiangqin-2026-04-23.md)（扫描结果完整原文）
- [archive issue #048](../../issues/archive/048-clawhub-security-flag.md)（老问题复盘；若归档）

## 机制

ClawHub 对每个 skill version push 都**自动重扫**，结果展示在 skill 页面 `Security Scan` 面板（API 里 inspect 没暴露字段，只能 scrape HTML 或 UI 看）。

### 两个扫描器

| 扫描器 | 性质 | 输出 |
|---|---|---|
| **VirusTotal** | 传统病毒库扫 | `Benign` / `Suspicious` / `Malicious` + 报告链接 |
| **OpenClaw** | ClawHub 自家 AI-driven skill 专用分析器 | 5 维度 + 整体 assessment + 置信度 |

### OpenClaw 五维度

1. **Purpose & Capability** — skill 宣称的用途和要求的能力是否相称
2. **Instruction Scope** — 指令范围是否越权（读写文件 / 跑命令 / 调网络）
3. **Install Mechanism** — 安装机制（PyPI / npm / 裸脚本下载）的风险
4. **Credentials** — 是否要求不相关的凭证 / 环境变量
5. **Persistence & Privilege** — 是否请求系统级持久化 / 特权

每个维度结果：`✓ benign` / `ℹ info note` / `flag`。

### 触发 suspicious 的典型模式

- 敏感关键字（手机号 / vault / credentials / 身份证 / 支付）未配清晰说明段
- 指令让 agent 运行任意代码 / 下载二进制
- Install 机制越过包管理器（curl | bash 直接跑 shell）
- 要求系统 root / 全局 env / 持续后台任务

### 触发 flag 后的修复路径

1. **更新 SKILL.md**：加清晰的 section 自我披露处理方式（Privacy / Runtime / Credentials）
2. **push 新 version tag**：ClawHub 自动重扫，老 flag 被新扫描覆盖
3. 不需要人工申诉 / 等待

xiangqin 的实际路径：v0.3.0 → 0.3.1 → 0.4.x → 0.5.x 多次 release，0.5.4 时扫描已 Benign，**没有主动做过 privacy section 修改**，是 SKILL.md 自然演进 + 多版本重扫累积的结果。

## 给 xiangqin 的行动要点

- 未来发 skill 新版本前 review SKILL.md 有没有**新的敏感关键字** 没 context
- 每次 tag push 后访问 `https://clawhub.ai/<owner>/<slug>` 看 Security Scan 面板
- API 路径 `clawhub inspect <slug> --json` 只返 stats，不含 scan 结果 → 要 HTML scrape
- 当前 0.5.4 Benign 状态的原始证据在 [raw/clawhub-security-scan-xiangqin-2026-04-23.md](../../raw/clawhub-security-scan-xiangqin-2026-04-23.md)
