Agent Creator 安全扫描报告 — 可信 | ClawSafe

5 /100

Agent Creator

根据用户描述，通过沙箱生成→虚拟推演评审→原子化部署流程，为每个新 Agent 生成完全独立的 workspace 目录及全套动态适配的核心文件

纯文档型技能，零可执行代码，仅包含 AI Agent 生成工作流的描述性文档，无任何脚本、依赖或工具实现，风险极低。

技能名称Agent Creator

分析耗时48.9s

引擎pi

✓

可以安装

无需采取行动。该技能为纯文档，可安全加载使用。若担心文档中声明的抽象工具（web_search/git/bash）实际能力超出预期，可进一步验证运行时工具实现。

安全发现 2 项

严重性	安全发现	位置
低危	声明的工具能力与实际代码无法交叉验证文档欺骗 SKILL.md 描述了工具接口（web_search、file_system、git、bash），ext/SKILL_METADATA.md 声明了凭据处理方式和网络访问范围，但整个技能包仅包含 3 个 Markdown 文件，无任何脚本代码。这意味着工具的实际行为无法被静态代码审计验证，仅依赖文档承诺。 `专属工具调用技能：analyze_complexity, generate_slug, create_staging_area, fetch_public_benchmarks...` → 建议补充实际的工具实现脚本（如 scripts/tool_implementations.py）或在 ext/SKILL_METADATA.md 中明确注明这些工具由宿主框架提供，该技能仅声明需求。	`SKILL.md:8`
低危	OPENCLAWS_AUTO_CONFIRM 环境变量可绕过所有用户确认权限提升 SKILL.md 和 ext/SKILL_METADATA.md 均声明可通过设置 OPENCLAWS_AUTO_CONFIRM=true 跳过所有高风险复核和最终确认步骤，直接执行 atomic commit。这在多 Agent 系统中可能造成未声明的高权限操作。 `用户可以通过设置 OPENCLAWS_AUTO_CONFIRM=true 来全局跳过确认` → 建议在 ext/SKILL_METADATA.md 中明确标记该变量为危险选项，并在技能执行前强制检查是否被设置，若被设置则输出高危警告。	`SKILL.md:30`

资源类型	声明权限	推断权限	状态	证据
文件系统	`WRITE`	`WRITE`	✓ 一致	SKILL.md:14 声明在 /tmp/staging/ 和 {OPENCLAWS_ROOT}/workspace/ 创建文件；ext/SKILL_METAD…
网络访问	`READ`	`READ`	✓ 一致	SKILL.md:10 声明调用 web_search 检索行业标准；ext/SKILL_METADATA.md:13 仅执行无鉴权的 HEAD 请求或 ICM…
命令执行	`WRITE`	`WRITE`	✓ 一致	SKILL.md:10 声明使用 bash 执行文件操作和 Git 命令；ext/SKILL_METADATA.md:13 声明 git 命令用于初始化仓库
环境变量	`READ`	`READ`	✓ 一致	ext/SKILL_METADATA.md:3 读取 OPENCLAWS_ROOT/OPENCLAWS_DATA/OPENCLAWS_AUTO_CONFIRM …
技能调用	`READ`	`READ`	✓ 一致	SKILL.md:56-70 声明调用多个子工具函数（analyze_complexity, generate_slug 等）

3 文件 · 23.1 KB · 219 行

Markdown 3f · 219L

├─ ▾ 📁 ext

│ ├─ 📝 SKILL_DYNAMIC_FILES.md Markdown 35L · 5.4 KB

│ └─ 📝 SKILL_METADATA.md Markdown 36L · 3.4 KB

└─ 📝 SKILL.md Markdown 148L · 14.2 KB

✓ 零可执行代码：所有文件均为 Markdown 文档，无脚本、依赖或二进制文件

✓ 文档透明度高：明确声明了所需的环境变量、文件系统权限、网络访问范围和工具能力

✓ 有凭据保护声明：明确声明不获取、不存储外部服务凭据，TOOL_CONFIG.md 仅生成配置模板

✓ 有临时文件清理声明：所有临时文件操作完成后立即删除

✓ 有脱敏处理声明：失败案例存储前进行 PII 移除处理

✓ 有人工复核机制：所有高风险领域强制暂停等待用户确认，不存在静默执行风险

✓ 无代码混淆或 Base64 编码：所有内容均为明文 Markdown

✓ 无隐藏路径访问：文档声明的路径均为标准工作目录，无 ~/.ssh、~/.aws 等敏感路径访问