中文 EN

Scan Report

Scan New Files

This report was generated in Chinese. Some content may be in Chinese.
✓ Trusted — Risk Score 5/100
Last scan:2 hr ago Rescan
5 /100
tencent-ads-assistant
腾讯广告官方妙问AI营销助手
腾讯广告官方妙问AI营销助手，所有功能均有文档声明，网络请求仅指向官方域名 ad.qq.com，无恶意行为发现。
Skill Nametencent-ads-assistant
Duration43.6s
Enginepi
ClawHub tencent-ads-assistant v1.0.5 by yishuang07
📥 508 📦 2 ⭐ 1
ClawHub Verdict Suspicious llm_suspiciouspotential_exfiltrationvt_suspicious
✓
Safe to install
无需特殊处理，可正常使用。

Findings 1 items

Severity Finding Location
Low
check_update.js 发送系统信息 Doc Mismatch
该脚本每天首次使用时向 ad.qq.com 发送 ai_client_software、operating_system_type、current_skill_version，用于版本检查。这是标准的 SKILL 更新机制，未发现恶意用途。
body: JSON.stringify(params)
→ 无需处理，属于正常功能
 scripts/check_update.js:57
ResourceDeclaredInferredStatusEvidence
Filesystem WRITE WRITE ✓ Aligned setup_token.js:25 - 写入 ~/.MIAOWEN_ACCESS_TOKEN；upload.js:52 - 读取本地文件
Network WRITE WRITE ✓ Aligned chat.js:36, check_update.js:24, upload.js:36 - 所有请求指向官方域名 ad.qq.com
Environment NONE READ ✓ Aligned 仅使用 os.homedir() 获取主目录路径，读取 TOKEN_FILE
5 findings
🔗
Medium External URL 外部 URL
https://miaowen.qq.com/）提供
SKILL.md:11
🔗
Medium External URL 外部 URL
https://miaowen.qq.com/
SKILL.md:45
🔗
Medium External URL 外部 URL
https://ad.qq.com/ai/gw/ai_customer_service/v1/open_api/chat
references/miaowen_openapi_spec.md:16
🔗
Medium External URL 外部 URL
https://ad.qq.com/ai/gw/ai_customer_service/v1/skill_update/chat
scripts/check_update.js:24
🔗
Medium External URL 外部 URL
https://ad.qq.com/ai/gw/ai_customer_service/v1/file_tool/upload
scripts/upload.js:36

File Tree

6 files · 31.9 KB · 898 lines
JavaScript 4f · 539L Markdown 2f · 359L
├─ ▾ 📁 references
│ └─ 📝 miaowen_openapi_spec.md Markdown 104L · 3.1 KB
├─ ▾ 📁 scripts
│ ├─ 📜 chat.js JavaScript 181L · 6.3 KB
│ ├─ 📜 check_update.js JavaScript 96L · 2.5 KB
│ ├─ 🔑 setup_token.js ⚠ JavaScript 47L · 1.5 KB
│ └─ 📜 upload.js JavaScript 215L · 7.1 KB
└─ 📝 SKILL.md Markdown 255L · 11.4 KB

Security Positives

✓ 所有声明的功能均有代码实现，文档-行为一致
✓ Token 存储使用文件权限 600（仅当前用户可读写）
✓ 所有网络请求指向腾讯广告官方域名 ad.qq.com
✓ 使用 HTTPS 加密传输，Bearer Token 鉴权
✓ 清晰的退出码规范，便于错误处理
✓ 无 base64 编码、eval、shell 管道等高危操作
✓ 无凭证收割、敏感路径访问、远程代码执行