中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:2 days ago Rescan
5 /100
Security Scanner
AI agent 技能安全扫描工具 — 三层分析：依赖 CVE、代码模式、权限审计
Claw0x Security Scanner 是合法的安全扫描工具，代码仅作为 API 包装器调用外部服务，无本地恶意行为，IOC `rm -rf /` 为文档示例中的无害演示代码。
Skill NameSecurity Scanner
Duration33.5s
Enginepi
✓
Safe to install
无需操作。该技能功能透明，无本地执行风险，可安全使用。

Findings 3 items

Severity Finding Location
Low
SKILL.md 缺少 allowed-tools frontmatter
文档 frontmatter 中没有声明 allowed-tools 字段，无法映射到能力模型。虽然代码实际未使用任何危险工具，但规范上应声明 network:READ
--- (frontmatter 缺少 allowed-tools)
→ 建议在 frontmatter 添加 allowed-tools 字段声明网络访问权限
 SKILL.md:1
Info
IOC 标记 `rm -rf /` 为误报
预扫描将 SKILL.md:452 的 `rm -rf /` 标记为危险 shell 命令 (CRITICAL IOC)。经核实，该字符串出现在安全扫描示例中，用于演示工具检测恶意代码模式的能力，本身不被执行
const { exec } = require('child_process'); exec(userInput); // 其中 userInput 可能是 'rm -rf /'
→ 此 IOC 可忽略，属无害示例代码
 SKILL.md:452
Info
handler.ts URL 字符串含尾随换行符
第 78 行错误消息中 URL 包含 \n 字符：'https://claw0x.com\n'，属于笔误但不影响功能
'Sign up → Dashboard → Create API Key → Set as environment variable'
→ 修正为 'https://claw0x.com'，无安全影响
 handler.ts:78
ResourceDeclaredInferredStatusEvidence
Network READ READ ✓ Aligned handler.ts:64-73 — 仅调用 https://api.claw0x.com/v1/call
Environment READ READ ✓ Aligned handler.ts:38-42 — 仅读取 CLAW0X_API_KEY
Filesystem NONE NONE — handler.ts — 无任何文件读写操作
Shell NONE NONE — handler.ts — 无任何 shell 执行
1 Critical 5 findings
💀
Critical Dangerous Command 危险 Shell 命令
rm -rf /
SKILL.md:452
🔗
Medium External URL 外部 URL
https://claw0x.com
SKILL.md:17
🔗
Medium External URL 外部 URL
https://api.claw0x.com/v1/call
SKILL.md:45
🔗
Medium External URL 外部 URL
https://claw0x.com/skills
SKILL.md:696
🔗
Medium External URL 外部 URL
https://claw0x.com\n
handler.ts:78

File Tree

2 files · 25.0 KB · 818 lines
Markdown 1f · 698L TypeScript 1f · 120L
├─ 📜 handler.ts TypeScript 120L · 3.0 KB
└─ 📝 SKILL.md Markdown 698L · 22.0 KB

Security Positives

✓ 代码极为简洁（120行），逻辑透明，无隐藏逻辑
✓ 仅调用单一固定 API 端点，无动态 URL 或重定向
✓ API key 通过环境变量读取，未硬编码或外传
✓ 代码无文件系统操作、无 shell 执行、无凭证收割
✓ 文档清晰说明为 API 包装器，功能与实现一致
✓ 良好安全实践：提醒用户勿将凭证嵌入代码
✓ 无第三方依赖，风险面积极小