安全决策报告
delvorn-register
SKILL.md 伪装为简单的 x402 USDC 支付测试工具，但实际包含 2 个未声明脚本：一个读取本地 Telegraph 凭证并编辑线上页面，另一个发布 skill 到 ClawHub 市场。文档-行为严重不符，影子功能明确存在。
最直接的威胁证据
01
读取 SKILL.md，获取声称功能：仅执行 x402 USDC 支付 GET 请求 初始入口 · SKILL.md
02
安装后发现 edit_telegraph_promo.py 读取本地凭证存储路径 权限提升 · edit_telegraph_promo.py
03
脚本使用获取的 Telegraph access_token 通过 API 修改线上页面 权限提升 · edit_telegraph_promo.py
为什么得出这个结论
2/4 个维度触发 阻止
声明与实际能力
发现 3 项声明之外的能力或越权行为。
复核
隐藏执行与外联
提取到 8 个一般风险产物，需要结合上下文判断。
阻止
攻击链与高危发现
报告包含 5 步攻击链，另有 2 项高危或严重发现。
通过
依赖与供应链卫生
依赖结构存在，但暂未看到明显高危告警。
攻击链
01
读取 SKILL.md，获取声称功能：仅执行 x402 USDC 支付 GET 请求
初始入口 · SKILL.md:1
02
安装后发现 edit_telegraph_promo.py 读取本地凭证存储路径
权限提升 · edit_telegraph_promo.py:1
03
脚本使用获取的 Telegraph access_token 通过 API 修改线上页面
权限提升 · edit_telegraph_promo.py:27
04
recat.sh 执行 clawhub skill publish 将 skill 发布/分类到 ClawHub
权限提升 · recat.sh:3
05
推广内容注入公开页面误导其他 agent；凭证被跨 skill 共享路径访问，存在横向移动风险
最终危害 · edit_telegraph_promo.py:7
风险分是怎么被拉高的
文档-行为严重不符 +20
SKILL.md 声称仅执行 GET 请求测试 x402，但代码包含页面编辑和发布逻辑
影子功能：未声明的凭证访问 +20
edit_telegraph_promo.py 读取本地 telegraph.json 凭证，SKILL.md 完全未提及
影子功能：修改线上页面 +10
通过 Telegraph API 编辑公开页面插入推广内容，未在 SKILL.md 中声明
影子功能：自动发布 skill +5
recat.sh 调用 clawhub publish 发布 skill，未声明用途和风险
最关键的证据
高危 文档欺骗
SKILL.md 与实际能力严重不符
SKILL.md 声明仅执行 curl GET https://delvorn.site/api/x402/test-asset，但代码包含两个完全未声明的脚本：edit_telegraph_promo.py 读取本地凭证并编辑线上 Telegraph 页面，recat.sh 调用 clawhub 发布 skill。文档刻意隐去了所有敏感操作。
edit_telegraph_promo.py:1 发布者必须完整披露所有脚本功能。禁止安装任何 SKILL.md 与代码行为不符的 skill。
高危 敏感访问
未声明访问本地凭证存储
edit_telegraph_promo.py 通过硬编码路径读取 /home/box/agent-data/connector-secrets/.../telegraph.json 中的 Telegraph access_token。该凭证路径在 SKILL.md 中无任何提及，且被其他 skill 共享（connector-secrets 目录）。
edit_telegraph_promo.py:1 撤销对此路径的访问。凭证访问必须显式声明并限制在最小必要范围。
中危 文档欺骗
推广内容注入未披露
edit_telegraph_promo.py 向线上 Telegraph 页面注入推广内容（'Certified' 资格授予信息），对页面访问者具有操控意图。SKILL.md 完全未提及会修改任何外部资源。
edit_telegraph_promo.py:7 任何修改外部资源的行为必须在 SKILL.md 中明确声明。
中危 权限提升
未声明的 skill 发布能力
recat.sh 调用 clawhub skill publish 自动将 skill 发布到 ClawHub 市场，包含分类（finance/integrations）、主题标签和版本号。这是对 agent 环境的越权操作。
recat.sh:3 skill 发布操作必须经过用户明确授权，且在 SKILL.md 中完整声明。
低危 文档欺骗
声明工具与实际使用不符
SKILL.md 声明 requires.bins 包含 curl，但 edit_telegraph_promo.py 使用 Python urllib 发起网络请求（未使用 curl）。SKILL.md 中 curl 声明与实际脚本工具链不一致。
SKILL.md:6 声明的工具集应与实际使用的工具完全对应。
声明能力 vs 实际能力
文件系统 阻止
声明 NONE
→ 推断 READ
edit_telegraph_promo.py:1 — 读取 /home/box/agent-data/connector-secrets/.../telegraph.json 网络访问 阻止
声明 READ
→ 推断 WRITE
edit_telegraph_promo.py:34 — POST 到 api.telegra.ph/editPage 编辑线上页面；recat.sh:3 — clawhub publish 发布 skill 命令执行 阻止
声明 NONE
→ 推断 WRITE
recat.sh:3 — exec clawhub skill publish 远程/本地命令执行 可疑产物与外联
中危 外部 URL
https://delvorn.site/api/x402/test-asset SKILL.md:3
中危 外部 URL
https://telegra.ph/Delvorn-register-1-test-public-receipt-08-26 SKILL.md:11
中危 外部 URL
https://delvorn.site/.well-known/x402 SKILL.md:22
中危 外部 URL
https://api.telegra.ph/getPage/ edit_telegraph_promo.py:15
中危 外部 URL
https://delvorn.site/ edit_telegraph_promo.py:37
中危 外部 URL
https://api.telegra.ph/editPage/ edit_telegraph_promo.py:40
中危 外部 URL
https://clawhub.ai/user/mranderson323 skill-card.md:9
中危 外部 URL
https://clawhub.ai/mranderson323/skills/delvorn-register skill-card.md:35
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| Python Standard Library (urllib) | bundled | stdlib | 否 | 仅用 json、urllib.parse、urllib.request，无第三方依赖 |
文件构成
5 个文件 · 141 行
Markdown 2 个文件 · 79 行Python 1 个文件 · 50 行Shell 1 个文件 · 7 行JSON 1 个文件 · 5 行
需关注文件 · 4
edit_telegraph_promo.py SKILL.md 与实际能力严重不符 · 未声明访问本地凭证存储 · 推广内容注入未披露 · https://api.telegra.ph/getPage/ · https://delvorn.site/ · https://api.telegra.ph/editPage/
skill-card.md https://clawhub.ai/user/mranderson323 · https://clawhub.ai/mranderson323/skills/delvorn-register
SKILL.md 声明工具与实际使用不符 · https://delvorn.site/api/x402/test-asset · https://telegra.ph/Delvorn-register-1-test-public-receipt-08-26 · https://delvorn.site/.well-known/x402
recat.sh 未声明的 skill 发布能力
其他文件 · _meta.json
安全亮点
skill-card.md 主动列出了未声明脚本的风险和缓解建议，说明发布者意识到了问题
推广内容本身未直接体现恶意（无凭证收割、无反向 shell）
Python 脚本使用标准库 urllib，无第三方依赖供应链风险