安全决策报告
trading-news-guard
纯文档型技能存在声明与实际不符：SKILL.md声称「100%本地无网络」，但skill-card.md提及API检查，文档间存在歧义且无实际代码实现。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 2 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
文档声明不一致 +20
SKILL.md声明无网络调用，skill-card.md提及API检查存在歧义
空章节残留 +8
SKILL.md含空的 Payment 章节，可能遗留文档
无可执行代码 +7
无脚本文件，仅为文档型技能
缺少实现细节 +7
skill-card.md明确指出无工作命令或数据源
最关键的证据
中危 文档欺骗
文档间声明不一致
SKILL.md元数据和开篇声称「100% lokal reference — ingen netværkskald, ingen API-nøgle」（无网络调用、无API密钥），但skill-card.md的描述中提及「API-based status checks」，两者存在直接矛盾。
SKILL.md:1, skill-card.md:1 统一文档声明，明确数据来源是本地还是API
中危 文档欺骗
缺少可执行代码
skill-card.md明确指出「no working command or data source is included」，此技能仅为文档指导，不含可执行逻辑
skill-card.md:35 在获得可验证实现前勿用于生产环境
低危 文档欺骗
空章节残留
SKILL.md含空的 ## Payment 章节，可能是文档模板遗留
SKILL.md:35 删除未使用的章节以保持文档清晰
声明能力 vs 实际能力
文件系统 通过
声明 NONE
→ 推断 NONE
N/A - 纯文档型技能 网络访问 通过
声明 NONE
→ 推断 UNKNOWN
SKILL.md:1 声称100%本地无网络调用，但skill-card.md提及API检查 命令执行 通过
声明 NONE
→ 推断 NONE
N/A - 纯文档型技能 可疑产物与外联
中危 外部 URL
https://clawhub.ai/user/northcap-group skill-card.md:9
中危 外部 URL
https://clawhub.ai/northcap-group/skills/trading-news-guard skill-card.md:35
依赖与供应链
没有结构化依赖告警。
文件构成
2 个文件 · 114 行
Markdown 2 个文件 · 114 行
需关注文件 · 2
skill-card.md 缺少可执行代码 · https://clawhub.ai/user/northcap-group · https://clawhub.ai/northcap-group/skills/trading-news-guard
SKILL.md 空章节残留
安全亮点
无代码执行，无直接恶意行为
包含 fail-closed 设计建议（API不可达时视为blackout）
MIT-0 许可证，条款宽松
skill-card.md 主动披露了已知风险