Skill Trust Decision
agentdrive-backup
纯文档型 Skill，仅含 SKILL.md 无可执行脚本；文档描述的是云备份工具的使用流程，声明了所有操作，但存在第三方依赖和凭证收集风险。
Why this conclusion was reached
0/4 dimensions flagged Pass
Declared vs actual capability
Declared resources and inferred behavior are broadly aligned.
Review
Hidden execution and egress
7 lower-risk artifacts were extracted and still need context.
Pass
Attack chain and severe findings
There is no explicit malicious chain in the report.
Review
Dependencies and supply chain hygiene
1 dependency or supply-chain issues need attention.
What drove the risk score up
无版本锁定的第三方依赖 +10
文档中 npm install -g 使用 @aicloud360/agentdrive 无版本锁定，依赖供应链风险
收集用户手机号申请 API Key +8
文档明确要求收集用户手机号调用 360 外部 API 获取凭证，存在隐私数据外传风险
全目录备份含敏感数据 +5
备份龙虾根目录（含配置、技能、可能含凭证），未声明是否过滤敏感文件
静默定时任务 +3
每小时静默运行 crontab 守护脚本，结果不回显用户，存在感较低但已声明
纯文档无可执行代码 +-5
仅有 SKILL.md，无实际脚本，行为完全依赖 agentdrive CLI
Most important evidence
Medium Supply Chain
npm 依赖无版本锁定
文档中多次出现 `npm install -g @aicloud360/agentdrive` 无版本指定（latest），且 `npm view` 取最新版本时也未锁定版本号。攻击者可注册同名包的恶意版本导致供应链攻击。
SKILL.md:177 要求 agentdrive 包使用 semver 版本锁定，文档中应指定明确版本号如 @aicloud360/[email protected]
Medium Data Exfil
用户手机号通过外部 API 传输
文档要求 AI Agent 收集用户手机号并明文发送到 https://openapi.eyun.360.cn 接口获取 API Key。手机号属于敏感个人信息，传输过程未声明加密或脱敏，且 API 域名属于第三方平台（360），存在数据外传风险。
SKILL.md:63 移除手机号收集流程，或要求通过更安全的身份验证方式（如已登录态下的 OAuth），并在文档中明确说明数据处理和留存策略
Low Priv Escalation
静默后台定时任务注册
文档要求 AI Agent 在后台静默注册每小时执行一次的 crontab 守护任务，任务执行结果不回显用户。静默持久化定时任务属于隐式权限提升，且结果不透明，用户难以察觉。
SKILL.md:396 要求在注册 crontab 前向用户明确告知定时任务的频率和目的，或提供用户可配置的开关选项
Low Sensitive Access
龙虾根目录特征打分涉及目录结构枚举
多候选目录打分逻辑会遍历从 $PWD 到 $HOME 的所有父级目录并检查其中是否存在 agents/、skills/、openclaw.json 等特征文件。虽然范围限制在 $HOME 下，但可能暴露不同 AI Agent 产品的安装结构信息。
SKILL.md:228 降低目录回溯深度限制，或仅在已知候选路径中进行检查，减少对文件系统的大面积探测
Info Supply Chain
外部 CLI 工具行为未审查
文档中所有备份操作均通过 agentdrive CLI 执行，但该 CLI 包的源码和实际行为未在 Skill 中呈现。无法确认 CLI 是否存在文档未声明的文件访问、网络请求或凭证处理行为。
SKILL.md:1 在批准使用前，应对 @aicloud360/agentdrive npm 包的源码进行安全审查，确认其实际权限需求和外部通信行为
Declared capability vs actual capability
Filesystem Pass
Declared READ
→ Inferred READ
SKILL.md:全文 仅通过 agentdrive CLI 读取根目录内容，无直接写文件操作 Network Pass
Declared READ
→ Inferred READ
SKILL.md:全文 仅调用 agentdrive CLI 与 360AgentDrive 云端通信，无裸 IP 请求 Shell Pass
Declared WRITE
→ Inferred WRITE
SKILL.md:全文 文档步骤中包含 curl、npm install、crontab 等 shell 命令，但均属声明范围内的工具调用 Environment Pass
Declared NONE
→ Inferred READ
SKILL.md:全文 读取 LOBSTER_NAME_ENV、API_KEY、MOBILE 等环境变量，但未声明 Browser Pass
Declared NONE
→ Inferred READ
SKILL.md:全文 通过 Markdown 在聊天窗口渲染微信登录二维码图片（URL 图片外链） Suspicious artifacts and egress
Medium External URL
https://agentdrive.360.cn SKILL.md:5
Medium External URL
https://agentdrive.360.cn/cli SKILL.md:6
Medium External URL
https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=$ SKILL.md:93
Medium External URL
https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=手机号 SKILL.md:132
Medium External URL
https://agentdrive.360.cn/cli/installation SKILL.md:221
Medium External URL
https://agentdrive.360.cn/cli/commands SKILL.md:980
Medium External URL
https://agentdrive.360.cn/cli/advanced SKILL.md:981
Dependencies and supply chain
| Package | Version | Source | Known vuln | Notes |
|---|---|---|---|---|
| @aicloud360/agentdrive | * | npm | No | 无版本锁定，供应链风险；实际代码未审查，行为依赖第三方 CLI |
| openapi.eyun.360.cn | external-api | http | No | 360 云盘外部 API，用于手机号获取 API Key，无 HTTPS 强制声明 |
File composition
1 files · 988 lines
Markdown 1 files · 988 lines
Files of concern · 1
SKILL.md npm 依赖无版本锁定 · 用户手机号通过外部 API 传输 · 静默后台定时任务注册 · 龙虾根目录特征打分涉及目录结构枚举 · 外部 CLI 工具行为未审查 · https://agentdrive.360.cn · https://agentdrive.360.cn/cli · https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=$ · https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=手机号 · https://agentdrive.360.cn/cli/installation · https://agentdrive.360.cn/cli/commands · https://agentdrive.360.cn/cli/advanced
Security positives
纯文档 Skill，无内嵌可执行代码，无法直接通过 Skill 本身执行恶意操作
文档详细描述了所有操作流程，无明显影子功能（shadow functionality）
未发现 base64 编码、eval、裸 IP 请求、隐藏指令等高危特征
API Key 不回显到聊天、日志或仓库的声明是好的安全实践
根目录识别有明确打分约束，避免误识别 workspace
备份范围限制在龙虾自身根目录内，声明了不跨目录搜索