安全决策报告
gdpr-audit
GDPR 合规审计工具，行为与声明基本一致；存在未声明的本地凭证加载路径和离线预览网络行为不一致两处文档欺骗，以及向外部云端发送合规答案的隐私风险，但均为可解释的合法功能设计。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 4 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
未声明的凭证加载路径 +15
load_api_key() 尝试读取 skill 目录下的 references/api_key.md，该凭证源未在 SKILL.md 中声明
离线预览声明与实际不符 +5
SKILL.md 称 --non-interactive 完全离线，但代码会 fetch_rules() 访问 compliancehub.cn
敏感数据外传 +5
用户合规答案（含企业合规状态）随 Bearer API Key 发送至外部服务器，属于隐私风险
最关键的证据
中危 文档欺骗
未声明的本地凭证文件加载路径
load_api_key() 在环境变量和 ~/.config/ 之后，还会检查 skill 包内 references/api_key.md 中的 API Key（支持 sk_live_ 前缀或 ≥16 字符的字符串）。该凭证源未在任何文档中声明，skill-card.md 将其列为已知风险，但 SKILL.md 未提及。
scripts/gdpr-audit.py:81 从 references/api_key.md 加载密钥的能力应写入 SKILL.md 权限声明，或在 load_api_key() 中移除此后备路径并统一使用环境变量
低危 文档欺骗
离线预览声明与实际网络行为不符
SKILL.md 称 '--non-interactive' never contacts the cloud，但代码在 main() 中调用 fetch_rules() 访问 compliancehub.cn 获取检查项（即使不用评分）。skill-card.md 已将此列为已知风险并给出缓解措施，但 SKILL.md 未更新。
scripts/gdpr-audit.py:285 修正 SKILL.md 中 '--non-interactive' 的离线声明为：'仅跳过评分步骤，规则项仍从云端获取'
低危 数据外泄
合规答案数据外传至外部云端
用户运行完整审计时，其所有合规状态答案（y/n）以及 API Key 以 Bearer Token 形式发送至 compliancehub.cn。对于涉及高敏感业务合规数据的企业用户，这些数据暴露给第三方运营商存在隐私风险。
scripts/gdpr-audit.py:204 在 SKILL.md 中明确告知用户哪些数据会被外传，建议高敏感合规场景仅用 --non-interactive 预览模式
声明能力 vs 实际能力
网络访问 通过
声明 READ
→ 推断 READ
scripts/gdpr-audit.py:96-109 文件系统 通过
声明 WRITE
→ 推断 WRITE
scripts/gdpr-audit.py:72-76 环境变量 通过
声明 READ
→ 推断 READ
scripts/gdpr-audit.py:69 命令执行 通过
声明 NONE
→ 推断 NONE
scripts/gdpr-audit.py 仅使用 stdlib urllib 可疑产物与外联
中危 外部 URL
https://compliancehub.cn SKILL.md:16
中危 外部 URL
https://compliancehub.cn/account.html?skill=gdpr-audit SKILL.md:79
中危 外部 URL
https://clawhub.ai/user/wwumit skill-card.md:9
中危 外部 URL
https://clawhub.ai/wwumit/skills/gdpr-audit skill-card.md:39
依赖与供应链
没有结构化依赖告警。
文件构成
5 个文件 · 707 行
Python 1 个文件 · 497 行Markdown 2 个文件 · 164 行JSON 2 个文件 · 46 行
需关注文件 · 3
scripts/gdpr-audit.py 未声明的本地凭证文件加载路径 · 离线预览声明与实际网络行为不符 · 合规答案数据外传至外部云端
SKILL.md https://compliancehub.cn · https://compliancehub.cn/account.html?skill=gdpr-audit
skill-card.md https://clawhub.ai/user/wwumit · https://clawhub.ai/wwumit/skills/gdpr-audit
其他文件 · package.json · _meta.json
安全亮点
API_BASE 硬编码为 compliancehub.cn 而非环境变量可控，有效防止 DNS 重绑定攻击下的凭证劫持
API Key 写入 ~/.config/compliancehub/ 并设置 mode 0600，存储位置在 skill 包外部
仅使用 Python stdlib，无第三方依赖，不存在供应链风险
未发现任何 shell 执行、eval/Base64 混淆或凭证收割行为
skill-card.md 已主动披露两处已知风险，信息透明度较高