中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：5 小时前 重新扫描
5 /100
pharma-ai
智能药物发现AI助手 - 分子毒性预测、ADMET评估和虚拟筛选
pharma-ai 是一个合法的药物发现工具，代码与文档完全一致，使用标准 RDKit + scikit-learn 工作流，无任何恶意行为。
技能名称pharma-ai
分析耗时43.6s
引擎pi
ClawHub PharmaAI v1.0.0 by xxxrobot
📥 173
ClawHub 判定 可疑 dangerous_execllm_suspicious
✓
可以安装
可安全使用。依赖版本锁定缺失为低优先级问题，建议在生产环境中锁定版本。

安全发现 2 项

严重性 安全发现 位置
低危
Python 依赖版本未锁定上限 供应链
requirements.txt 中 rdkit>=2023.0.0、scikit-learn>=1.3.0 等仅指定最低版本，无上限锁定。package.json 中 @openclaw/skill-sdk:^1.0.0 使用范围版本。
rdkit>=2023.0.0
scikit-learn>=1.3.0
→ 建议锁定版本：rdkit==2023.3.2 scikit-learn==1.3.2
 python-core/requirements.txt:1
低危
Node.js 依赖版本未锁定上限 供应链
package.json 中 @openclaw/skill-sdk:^1.0.0 使用 semver 范围版本，可能引入不一致行为。
"@openclaw/skill-sdk": "^1.0.0"
→ 生产环境建议锁定具体版本
 package.json:18
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 src/python-bridge/index.ts:22 读取本地模型文件
命令执行 WRITE WRITE ✓ 一致 src/python-bridge/index.ts:19 spawn('python3') 执行本地脚本
网络访问 NONE NONE — 代码中无任何网络请求
环境变量 NONE NONE — 未遍历环境变量
技能调用 EXECUTE EXECUTE ✓ 一致 导出 predictMolecule, batchPredict 等标准接口
剪贴板 NONE NONE — 无剪贴板操作
浏览器 NONE NONE — 无浏览器相关代码
数据库 NONE NONE — 无数据库访问
6 项发现
🔗
中危 外部 URL 外部 URL
https://clawhub.com
HEADLESS_LOGIN.md:13
🔗
中危 外部 URL 外部 URL
https://clawhub.com/settings/tokens
HEADLESS_LOGIN.md:59
🔗
中危 外部 URL 外部 URL
https://docs.clawhub.com
HEADLESS_LOGIN.md:122
🔗
中危 外部 URL 外部 URL
https://discord.gg/clawd
HEADLESS_LOGIN.md:123
🔗
中危 外部 URL 外部 URL
https://docs.openclaw.ai/skills
PUBLISH_GUIDE.md:134
📧
提示 邮箱 邮箱地址
[email protected]
HEADLESS_LOGIN.md:121

目录结构

12 文件 · 22.5 KB · 957 行
Markdown 4f · 444L TypeScript 4f · 294L Python 1f · 163L JSON 2f · 52L Text 1f · 4L
├─ ▾ 📁 python-core
│ ├─ 🐍 predict.py Python 163L · 4.8 KB
│ └─ 📄 requirements.txt Text 4L · 64 B
├─ ▾ 📁 src
│ ├─ ▾ 📁 commands
│ │ └─ 📜 predict.ts TypeScript 77L · 2.2 KB
│ ├─ ▾ 📁 python-bridge
│ │ └─ 📜 index.ts TypeScript 112L · 2.4 KB
│ ├─ ▾ 📁 types
│ │ └─ 📜 index.ts TypeScript 47L · 920 B
│ └─ 📜 index.ts TypeScript 58L · 1.3 KB
├─ 📝 HEADLESS_LOGIN.md Markdown 126L · 2.8 KB
├─ 📋 package.json JSON 34L · 762 B
├─ 📝 PUBLISH_GUIDE.md Markdown 139L · 2.9 KB
├─ 📝 README.md Markdown 70L · 1.4 KB
├─ 📝 SKILL.md Markdown 109L · 2.5 KB
└─ 📋 tsconfig.json JSON 18L · 460 B

依赖分析 5 项

包名版本来源已知漏洞备注
rdkit >=2023.0.0 pip 否 无版本上限锁定
scikit-learn >=1.3.0 pip 否 无版本上限锁定
numpy >=1.24.0 pip 否 无版本上限锁定
joblib >=1.3.0 pip 否 无版本上限锁定
@openclaw/skill-sdk ^1.0.0 npm 否 semver 范围版本

安全亮点

✓ 代码与 SKILL.md 文档完全一致，无阴影功能
✓ 使用标准 RDKit + scikit-learn 化学计算栈
✓ 模型完全本地加载，无网络传输
✓ 通过 JSON stdin/stdout 进行安全进程通信
✓ 无凭证访问、无环境变量遍历
✓ 无任何混淆代码或隐藏指令
✓ 代码结构清晰，易于审计