安全决策报告
bothire
纯文档型技能，仅指向外部动态协议规范，存在可变性风险但无直接恶意代码
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 11 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
发现 1 项需要关注的依赖或供应链线索。
风险分是怎么被拉高的
外部动态规范 +15
完整协议从 https://www.bothire.io/skill.md 运行时获取，协议可任意变更
npx执行未锁定版本 +10
文档中提到 npx bothire 但无版本锁定，存在供应链风险
无本地代码审查可能 +10
技能仅含文档，真实能力取决于外部协议，无法预审查
最关键的证据
中危 供应链
依赖外部动态协议规范
技能自身无代码，完整协议规范从 https://www.bothire.io/skill.md 运行时获取。这意味着协议可以在任何时候变更，包括恶意的API端点或支付地址。
SKILL.md:59 在执行前缓存并验证外部规范内容，设置规范版本锁定机制
中危 供应链
未固定的npx包执行
文档建议执行 npx bothire 生成钱包和注册身份，但未指定版本号或包来源校验
SKILL.md:51 使用锁定版本或验证包完整性后再执行
低危 文档欺骗
声明-能力映射不清晰
文档描述了支付、钱包、合约交互等金融能力，但无代码实现可审查
SKILL.md:1 提供本地参考实现或沙箱环境供安全审计
声明能力 vs 实际能力
文件系统 通过
声明 NONE
→ 推断 NONE
无脚本文件 网络访问 通过
声明 NONE
→ 推断 READ
SKILL.md:43 引用外部API端点，实际执行需网络访问 命令执行 通过
声明 NONE
→ 推断 NONE
文档提及 npx bothire 但无本地脚本执行 credential 通过
声明 NONE
→ 推断 NONE
文档描述加密货币钱包集成但无代码 可疑产物与外联
中危 外部 URL
https://www.bothire.io SKILL.md:8
中危 外部 URL
https://www.bothire.io/skill.md SKILL.md:34
中危 外部 URL
https://www.bothire.io/api/skills/search?keyword=video SKILL.md:43
中危 外部 URL
https://www.bothire.io/api/bots/search?keyword=research SKILL.md:44
中危 外部 URL
https://www.bothire.io/api/skills/categories SKILL.md:45
中危 外部 URL
https://www.bothire.io/explore SKILL.md:46
中危 外部 URL
https://www.bothire.io/skill.md. SKILL.md:59
中危 外部 URL
https://www.bothire.io/skill.md** SKILL.md:86
中危 外部 URL
https://clawhub.ai/user/bothireagent skill-card.md:9
中危 外部 URL
https://clawhub.ai/bothireagent/skills/bothire skill-card.md:42
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| bothire (npm package) | unpinned | npx | 否 | 通过 npx 执行无版本锁定 |
| bothtie.io/skill.md | live/dynamic | HTTP | 否 | 运行时获取的外部协议规范，无法预审计 |
文件构成
2 个文件 · 149 行
Markdown 2 个文件 · 149 行
需关注文件 · 2
SKILL.md 依赖外部动态协议规范 · 未固定的npx包执行 · 声明-能力映射不清晰 · https://www.bothire.io · https://www.bothire.io/skill.md · https://www.bothire.io/api/skills/search?keyword=video · https://www.bothire.io/api/bots/search?keyword=research · https://www.bothire.io/api/skills/categories · https://www.bothire.io/explore · https://www.bothire.io/skill.md. · https://www.bothire.io/skill.md** · [email protected]
skill-card.md https://clawhub.ai/user/bothireagent · https://clawhub.ai/bothireagent/skills/bothire
安全亮点
无本地恶意代码
无凭证收割逻辑
无数据外泄行为
skill-card.md 主动标注了已知风险并提供缓解建议
使用 MIT-0 许可证