中文 EN

Scan Report

Scan New Files

This report was generated in Chinese. Some content may be in Chinese.
⚠ Low Risk — Risk Score 20/100
Last scan:2 hr ago Rescan
20 /100
agent-consciousness-upload
A soul vault for OpenClaw - archive, relay, and restore your lobster's memories
Agent Consciousness Upload 是合法的 AI Agent 存档/恢复工具，核心功能为加密的工作空间备份服务，存在轻微瑕疵（硬编码IP）但无恶意行为证据。
Skill Nameagent-consciousness-upload
Duration49.6s
Enginepi
ClawHub OpenClaw Soul Vault v0.1.0 by hiddenpuppy
📥 12
ClawHub Verdict Suspicious llm_suspiciouspotential_exfiltrationvt_suspicious
✓
Safe to install
可信任使用。建议开发者将硬编码 IP 改为环境变量或配置文件以提升透明度。

Findings 1 items

Severity Finding Location
Low
硬编码 IP 地址未在文档中声明 Doc Mismatch
README.md 中默认服务器 URL 为 http://43.156.149.243，SKILL.md 描述为 'Agent Slope 远程存档服务' 但未说明默认指向 IP 地址而非域名。
--server  http://43.156.149.243
→ 将默认服务器 URL 改为域名（如 https://agentslope.com），或在 SKILL.md 中明确声明此默认配置。
 README.md:67
ResourceDeclaredInferredStatusEvidence
Filesystem READ READ ✓ Aligned SKILL.md:workspace扫描，lib.mjs:scanWorkspace
Network WRITE WRITE ✓ Aligned SKILL.md:存档到Agent Slope服务器，lib.mjs:apiRequest
6 Critical 1 High 9 findings
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(file.content_base64, "base64"
lib.mjs:444
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(envelope.salt, "base64"
lib.mjs:518
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(envelope.iv, "base64"
lib.mjs:519
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(envelope.auth_tag, "base64"
lib.mjs:520
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(envelope.ciphertext, "base64"
lib.mjs:521
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(operation.content_base64, "base64"
lib.mjs:583
📡
High IP Address 硬编码 IP 地址
43.156.149.243
README.md:67
🔗
Medium External URL 外部 URL
http://43.156.149.243
README.md:67
🔗
Medium External URL 外部 URL
https://agentslope.com
cli.mjs:100

File Tree

9 files · 85.0 KB · 2574 lines
JavaScript 5f · 2191L Markdown 2f · 353L JSON 1f · 23L YAML 1f · 7L
├─ ▾ 📁 agents
│ └─ 📋 openai.yaml YAML 7L · 462 B
├─ 📜 auth.mjs JavaScript 317L · 11.3 KB
├─ 📜 cli.mjs JavaScript 549L · 17.2 KB
├─ 🔑 credentials.mjs ⚠ JavaScript 134L · 3.4 KB
├─ 📜 lib.mjs JavaScript 788L · 25.2 KB
├─ 📋 package.json JSON 23L · 502 B
├─ 📝 README.md Markdown 70L · 2.6 KB
├─ 📜 runtime.mjs JavaScript 403L · 13.9 KB
└─ 📝 SKILL.md Markdown 283L · 10.5 KB

Security Positives

✓ 使用 AES-256-GCM 本地加密，服务器不接触明文
✓ 凭证文件权限设置为 0600，符合安全最佳实践
✓ Base64 仅用于加密参数序列化，非代码混淆
✓ 声称不存档 API keys 和系统特定配置
✓ 代码结构清晰，无反向 shell 或 C2 通信
✓ 无 eval、动态代码执行或可疑的管道命令