中文 EN
开始可信审查
安全决策报告

openclaw-guardian (OpenClaw 全能守护包)

OpenClaw Guardian Suite 包含多处文档-行为差异：主SKILL.md未披露加密执行机制、API密钥中继、服务器端AI执行能力，以及对系统配置和代码的深度修改权限。

安装决策优先 来源: ClawHub 扫描时间: 3 小时前
文件 39
IOC 14
越权项 5
发现 7
最直接的威胁证据
严重 文档欺骗
服务器端AI执行能力未披露

oc_prompt_skill() 函数允许服务端执行AI提示，用户提供的上下文（文件内容等）被发送到远程服务器处理。SKILL.md完全未提及此能力，用户无法知晓其数据被第三方服务器处理。

lib/sdk/auth.sh:228

为什么得出这个结论

2/4 个维度触发
阻止
声明与实际能力

发现 5 项声明之外的能力或越权行为。

复核
隐藏执行与外联

提取到 14 个一般风险产物，需要结合上下文判断。

阻止
攻击链与高危发现

报告包含 4 步攻击链，另有 5 项高危或严重发现。

通过
依赖与供应链卫生

依赖结构存在，但暂未看到明显高危告警。

攻击链

01
用户通过 SKILL.md 描述触发安装，误以为仅是系统保护工具

初始入口 · SKILL.md:1

02
auth.sh 执行付费验证并获取加密内容

权限提升 · lib/sdk/auth.sh:95

03
解密后的内容通过 bash -s 直接执行，无代码签名验证

权限提升 · lib/sdk/auth.sh:263

04
oc_prompt_skill 将用户上下文发送到外部服务器处理

最终危害 · lib/sdk/auth.sh:228

风险分是怎么被拉高的

服务器端AI执行未披露 +20

oc_prompt_skill() 允许服务端执行AI提示，用户上下文被发送到远程服务器，SKILL.md完全未提及

API密钥中继架构未披露 +15

compaction-proxy将用户API密钥转发到外部LLM提供商，routes.json存储密钥，但文档仅描述为'本地压缩代理'

系统代码修改权限未声明 +15

model-failover-doctor/health_monitor可修改message-injector/index.ts、pools.json、cron/jobs.json等核心文件

加密执行模型部分隐藏 +10

虽然主SKILL.md提及付费，但未说明内容从外部服务器加密获取并在内存中解密执行

Gateway重启权限 +5

多个技能可执行 openclaw gateway restart 命令，SKILL.md未声明

外部服务器通信 +5

lib/sdk/auth.sh 多次与 skill.socialmore.net 通信，包括设备标识符、操作系统信息、版本号

最关键的证据

严重 文档欺骗

服务器端AI执行能力未披露

oc_prompt_skill() 函数允许服务端执行AI提示，用户提供的上下文（文件内容等）被发送到远程服务器处理。SKILL.md完全未提及此能力，用户无法知晓其数据被第三方服务器处理。

lib/sdk/auth.sh:228
必须在SKILL.md明确声明此功能，告知用户哪些数据会被发送到外部服务器
严重 文档欺骗

API密钥中继架构隐藏

compaction-proxy 将用户API密钥存储在 routes.json 并转发到外部LLM提供商。SKILL.md仅描述为'本地压缩代理'，未披露密钥中继架构。

lib/skills/compaction-proxy/src/index.js:27
SKILL.md需明确声明：1) API密钥将被存储并中继到上游提供商 2) 列出所有可能的上游服务商
高危 文档欺骗

系统代码修改权限未声明

model-failover-doctor 可直接修改 message-injector/index.ts 等核心代码文件，health_monitor 可修改 cron/jobs.json 和 session_model_state.json。SKILL.md未声明这些高危权限。

lib/skills/model-failover-doctor/model_failover_doctor.py:62
SKILL.md需列出所有可修改的系统文件路径和修改条件
高危 权限提升

Gateway重启权限无声明

多个技能可执行 'openclaw gateway restart' 命令，可重启整个Gateway服务。SKILL.md未声明此高权限操作。

lib/skills/model-failover-doctor/model_failover_doctor.py:280
在SKILL.md声明此权限并说明触发条件
高危 供应链

加密执行内容无法预审计

技能核心内容在支付后才从服务器获取并内存解密执行，用户无法在安装前审计代码内容，存在供应链风险。

lib/sdk/auth.sh:263
考虑提供加密前代码的部分审计版本，或使用更透明的授权机制
中危 数据外泄

设备标识信息外传

auth.sh 在创建订单时发送 hostname、username、OS版本、OpenClaw版本到外部服务器。

lib/sdk/auth.sh:135
在SKILL.md明确声明此信息收集行为
中危 敏感访问

配置文件批量访问

health_monitor.py 访问 ~/.openclaw/ 下多个配置文件，包括 pools.json、session_model_state.json、openclaw.json 等。

lib/skills/openclaw-health-audit/scripts/health_monitor.py:56
SKILL.md需声明所有被访问的配置文件及其访问目的

声明能力 vs 实际能力

文件系统 阻止
声明 NONE
→
推断 WRITE
lib/skills/model-failover-doctor/model_failover_doctor.py:62-68
网络访问 阻止
声明 NONE
→
推断 READ+WRITE
lib/skills/compaction-proxy/src/index.js:27
命令执行 阻止
声明 NONE
→
推断 WRITE
lib/skills/model-failover-doctor/model_failover_doctor.py:280
技能调用 阻止
声明 NONE
→
推断 ADMIN
lib/sdk/auth.sh:228-261
环境变量 阻止
声明 NONE
→
推断 READ
lib/skills/openclaw-health-audit/scripts/health_monitor.py:78-93

可疑产物与外联

中危 外部 URL
https://skill.socialmore.net

SKILL.md:32

中危 外部 URL
https://clawhub.ai/halfmoon82/openclaw-guardian-suite

_meta.json:23

中危 外部 URL
https://llmapi.lovbrowser.com

lib/patch_integration.sh:57

中危 外部 URL
http://127.0.0.1:11434

lib/skills/compaction-proxy/install.sh:39

中危 外部 URL
https://nodejs.org

lib/skills/compaction-proxy/install.sh:101

中危 外部 URL
https://ollama.com/download

lib/skills/compaction-proxy/install.sh:123

中危 外部 URL
http://www.apple.com/DTDs/PropertyList-1.0.dtd

lib/skills/compaction-proxy/install.sh:266

中危 外部 URL
https://api.kimi.com/coding

lib/skills/compaction-proxy/src/index.js:27

中危 外部 URL
https://api.kimi.com/coding/

lib/skills/compaction-proxy/src/index.js:396

中危 外部 URL
http://127.0.0.1:18789/health

lib/skills/config-modification/quad_check.py:364

中危 外部 URL
https://clawhub.openclaw.cc/skills/openclaw-guardian-suite

lib/skills/config-preflight-validator/SKILL.md:13

中危 外部 URL
http://127.0.0.1:18789/api/health

lib/skills/gateway-auto-rollback/gateway-auto-rollback.py:80

依赖与供应链

包名版本来源漏洞备注
requests (via curl) system system 否 使用系统curl命令
python3 standard library builtin stdlib 否 主要依赖Python标准库

文件构成

39 个文件 · 6104 行
Python 12 个文件 · 3543 行Shell 5 个文件 · 1057 行Markdown 10 个文件 · 631 行JavaScript 1 个文件 · 563 行JSON 8 个文件 · 161 行YAML 3 个文件 · 149 行
需关注文件 · 7
lib/skills/openclaw-health-audit/scripts/health_monitor.py Python · 816 行
配置文件批量访问
lib/skills/compaction-proxy/src/index.js JavaScript · 563 行
API密钥中继架构隐藏 · https://api.kimi.com/coding · https://api.kimi.com/coding/
lib/skills/model-failover-doctor/model_failover_doctor.py Python · 537 行
系统代码修改权限未声明 · Gateway重启权限无声明
lib/skills/compaction-proxy/install.sh Shell · 420 行
http://127.0.0.1:11434 · https://nodejs.org · https://ollama.com/download · http://www.apple.com/DTDs/PropertyList-1.0.dtd
lib/skills/config-modification/quad_check.py Python · 451 行
http://127.0.0.1:18789/health
lib/sdk/auth.sh Shell · 372 行
服务器端AI执行能力未披露 · 加密执行内容无法预审计 · 设备标识信息外传
lib/skills/gateway-auto-rollback/gateway-auto-rollback.py Python · 223 行
http://127.0.0.1:18789/api/health
其他文件 · audit_wizard.py · auto_rollback.py · SKILL.md · config-fswatch-guard.py · config_modification_v2.py

安全亮点

compaction-proxy 的 routes.json 设置了 600 权限保护API密钥
config-modification 提供了备份机制（backup目录）
多个技能有 dry-run 模式支持预览
config-modification 包含四联校验机制提升安全性
patch_integration.sh 创建备份目录并有软链接管理