Skill Trust Decision

delvorn-register

Name: delvorn-register Trust Review Report
Item: delvorn-register
Rating: 45
Author: ClawSafe

SKILL.md 伪装为简单的 x402 USDC 支付测试工具，但实际包含 2 个未声明脚本：一个读取本地 Telegraph 凭证并编辑线上页面，另一个发布 skill 到 ClawHub 市场。文档-行为严重不符，影子功能明确存在。

Install decision first Source: ClawHub Scanned: 15 days ago

Files 5

Artifacts 8

Violations 3

Findings 5

Most direct threat evidence

读取 SKILL.md，获取声称功能：仅执行 x402 USDC 支付 GET 请求 Entry · SKILL.md

安装后发现 edit_telegraph_promo.py 读取本地凭证存储路径 Escalation · edit_telegraph_promo.py

脚本使用获取的 Telegraph access_token 通过 API 修改线上页面 Escalation · edit_telegraph_promo.py

Why this conclusion was reached

2/4 dimensions flagged

Block

Declared vs actual capability

3 undeclared or violating capabilities were inferred.

Review

Hidden execution and egress

8 lower-risk artifacts were extracted and still need context.

Block

Attack chain and severe findings

The report includes 5 attack-chain steps and 2 severe findings.

Pass

Dependencies and supply chain hygiene

Dependencies are present but no obvious high-risk issue stands out.

Attack Chain

读取 SKILL.md，获取声称功能：仅执行 x402 USDC 支付 GET 请求

Entry · SKILL.md:1

安装后发现 edit_telegraph_promo.py 读取本地凭证存储路径

Escalation · edit_telegraph_promo.py:1

脚本使用获取的 Telegraph access_token 通过 API 修改线上页面

Escalation · edit_telegraph_promo.py:27

recat.sh 执行 clawhub skill publish 将 skill 发布/分类到 ClawHub

Escalation · recat.sh:3

推广内容注入公开页面误导其他 agent；凭证被跨 skill 共享路径访问，存在横向移动风险

Impact · edit_telegraph_promo.py:7

What drove the risk score up

文档-行为严重不符 +20

SKILL.md 声称仅执行 GET 请求测试 x402，但代码包含页面编辑和发布逻辑

影子功能：未声明的凭证访问 +20

edit_telegraph_promo.py 读取本地 telegraph.json 凭证，SKILL.md 完全未提及

影子功能：修改线上页面 +10

通过 Telegraph API 编辑公开页面插入推广内容，未在 SKILL.md 中声明

影子功能：自动发布 skill +5

recat.sh 调用 clawhub publish 发布 skill，未声明用途和风险

Most important evidence

High Doc Mismatch

SKILL.md 与实际能力严重不符

SKILL.md 声明仅执行 curl GET https://delvorn.site/api/x402/test-asset，但代码包含两个完全未声明的脚本：edit_telegraph_promo.py 读取本地凭证并编辑线上 Telegraph 页面，recat.sh 调用 clawhub 发布 skill。文档刻意隐去了所有敏感操作。

edit_telegraph_promo.py:1

发布者必须完整披露所有脚本功能。禁止安装任何 SKILL.md 与代码行为不符的 skill。

High Sensitive Access

未声明访问本地凭证存储

edit_telegraph_promo.py 通过硬编码路径读取 /home/box/agent-data/connector-secrets/.../telegraph.json 中的 Telegraph access_token。该凭证路径在 SKILL.md 中无任何提及，且被其他 skill 共享（connector-secrets 目录）。

edit_telegraph_promo.py:1

撤销对此路径的访问。凭证访问必须显式声明并限制在最小必要范围。

Medium Doc Mismatch

推广内容注入未披露

edit_telegraph_promo.py 向线上 Telegraph 页面注入推广内容（'Certified' 资格授予信息），对页面访问者具有操控意图。SKILL.md 完全未提及会修改任何外部资源。

edit_telegraph_promo.py:7

任何修改外部资源的行为必须在 SKILL.md 中明确声明。

Medium Priv Escalation

未声明的 skill 发布能力

recat.sh 调用 clawhub skill publish 自动将 skill 发布到 ClawHub 市场，包含分类（finance/integrations）、主题标签和版本号。这是对 agent 环境的越权操作。

recat.sh:3

skill 发布操作必须经过用户明确授权，且在 SKILL.md 中完整声明。

Low Doc Mismatch

声明工具与实际使用不符

SKILL.md 声明 requires.bins 包含 curl，但 edit_telegraph_promo.py 使用 Python urllib 发起网络请求（未使用 curl）。SKILL.md 中 curl 声明与实际脚本工具链不一致。

SKILL.md:6

声明的工具集应与实际使用的工具完全对应。

Declared capability vs actual capability

Filesystem Block

Declared NONE

→

Inferred READ

edit_telegraph_promo.py:1 — 读取 /home/box/agent-data/connector-secrets/.../telegraph.json

Network Block

Declared READ

→

Inferred WRITE

edit_telegraph_promo.py:34 — POST 到 api.telegra.ph/editPage 编辑线上页面；recat.sh:3 — clawhub publish 发布 skill

Shell Block

Declared NONE

→

Inferred WRITE

recat.sh:3 — exec clawhub skill publish 远程/本地命令执行

Suspicious artifacts and egress

Medium External URL

https://delvorn.site/api/x402/test-asset

SKILL.md:3

Medium External URL

https://telegra.ph/Delvorn-register-1-test-public-receipt-08-26

SKILL.md:11

Medium External URL

https://delvorn.site/.well-known/x402

SKILL.md:22

Medium External URL

https://api.telegra.ph/getPage/

edit_telegraph_promo.py:15

Medium External URL

https://delvorn.site/

edit_telegraph_promo.py:37

Medium External URL

https://api.telegra.ph/editPage/

edit_telegraph_promo.py:40

Medium External URL

https://clawhub.ai/user/mranderson323

skill-card.md:9

Medium External URL

https://clawhub.ai/mranderson323/skills/delvorn-register

skill-card.md:35

Dependencies and supply chain

Package	Version	Source	Known vuln	Notes
Python Standard Library (urllib)	`bundled`	stdlib	No	仅用 json、urllib.parse、urllib.request，无第三方依赖

File composition

5 files · 141 lines

Markdown 2 files · 79 linesPython 1 files · 50 linesShell 1 files · 7 linesJSON 1 files · 5 lines

Files of concern · 4

edit_telegraph_promo.py Python · 50 lines

SKILL.md 与实际能力严重不符 · 未声明访问本地凭证存储 · 推广内容注入未披露 · https://api.telegra.ph/getPage/ · https://delvorn.site/ · https://api.telegra.ph/editPage/

skill-card.md Markdown · 55 lines

https://clawhub.ai/user/mranderson323 · https://clawhub.ai/mranderson323/skills/delvorn-register

SKILL.md Markdown · 24 lines

声明工具与实际使用不符 · https://delvorn.site/api/x402/test-asset · https://telegra.ph/Delvorn-register-1-test-public-receipt-08-26 · https://delvorn.site/.well-known/x402

recat.sh Shell · 7 lines

未声明的 skill 发布能力

Other files · _meta.json

Security positives

skill-card.md 主动列出了未声明脚本的风险和缓解建议，说明发布者意识到了问题

推广内容本身未直接体现恶意（无凭证收割、无反向 shell）

Python 脚本使用标准库 urllib，无第三方依赖供应链风险