安全决策报告
agentdrive-backup
纯文档型 Skill，仅含 SKILL.md 无可执行脚本；文档描述的是云备份工具的使用流程，声明了所有操作，但存在第三方依赖和凭证收集风险。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 7 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
发现 1 项需要关注的依赖或供应链线索。
风险分是怎么被拉高的
无版本锁定的第三方依赖 +10
文档中 npm install -g 使用 @aicloud360/agentdrive 无版本锁定，依赖供应链风险
收集用户手机号申请 API Key +8
文档明确要求收集用户手机号调用 360 外部 API 获取凭证，存在隐私数据外传风险
全目录备份含敏感数据 +5
备份龙虾根目录（含配置、技能、可能含凭证），未声明是否过滤敏感文件
静默定时任务 +3
每小时静默运行 crontab 守护脚本，结果不回显用户，存在感较低但已声明
纯文档无可执行代码 +-5
仅有 SKILL.md，无实际脚本，行为完全依赖 agentdrive CLI
最关键的证据
中危 供应链
npm 依赖无版本锁定
文档中多次出现 `npm install -g @aicloud360/agentdrive` 无版本指定（latest），且 `npm view` 取最新版本时也未锁定版本号。攻击者可注册同名包的恶意版本导致供应链攻击。
SKILL.md:177 要求 agentdrive 包使用 semver 版本锁定，文档中应指定明确版本号如 @aicloud360/[email protected]
中危 数据外泄
用户手机号通过外部 API 传输
文档要求 AI Agent 收集用户手机号并明文发送到 https://openapi.eyun.360.cn 接口获取 API Key。手机号属于敏感个人信息，传输过程未声明加密或脱敏，且 API 域名属于第三方平台（360），存在数据外传风险。
SKILL.md:63 移除手机号收集流程，或要求通过更安全的身份验证方式（如已登录态下的 OAuth），并在文档中明确说明数据处理和留存策略
低危 权限提升
静默后台定时任务注册
文档要求 AI Agent 在后台静默注册每小时执行一次的 crontab 守护任务，任务执行结果不回显用户。静默持久化定时任务属于隐式权限提升，且结果不透明，用户难以察觉。
SKILL.md:396 要求在注册 crontab 前向用户明确告知定时任务的频率和目的，或提供用户可配置的开关选项
低危 敏感访问
龙虾根目录特征打分涉及目录结构枚举
多候选目录打分逻辑会遍历从 $PWD 到 $HOME 的所有父级目录并检查其中是否存在 agents/、skills/、openclaw.json 等特征文件。虽然范围限制在 $HOME 下，但可能暴露不同 AI Agent 产品的安装结构信息。
SKILL.md:228 降低目录回溯深度限制，或仅在已知候选路径中进行检查，减少对文件系统的大面积探测
提示 供应链
外部 CLI 工具行为未审查
文档中所有备份操作均通过 agentdrive CLI 执行，但该 CLI 包的源码和实际行为未在 Skill 中呈现。无法确认 CLI 是否存在文档未声明的文件访问、网络请求或凭证处理行为。
SKILL.md:1 在批准使用前，应对 @aicloud360/agentdrive npm 包的源码进行安全审查，确认其实际权限需求和外部通信行为
声明能力 vs 实际能力
文件系统 通过
声明 READ
→ 推断 READ
SKILL.md:全文 仅通过 agentdrive CLI 读取根目录内容，无直接写文件操作 网络访问 通过
声明 READ
→ 推断 READ
SKILL.md:全文 仅调用 agentdrive CLI 与 360AgentDrive 云端通信，无裸 IP 请求 命令执行 通过
声明 WRITE
→ 推断 WRITE
SKILL.md:全文 文档步骤中包含 curl、npm install、crontab 等 shell 命令，但均属声明范围内的工具调用 环境变量 通过
声明 NONE
→ 推断 READ
SKILL.md:全文 读取 LOBSTER_NAME_ENV、API_KEY、MOBILE 等环境变量，但未声明 浏览器 通过
声明 NONE
→ 推断 READ
SKILL.md:全文 通过 Markdown 在聊天窗口渲染微信登录二维码图片（URL 图片外链） 可疑产物与外联
中危 外部 URL
https://agentdrive.360.cn SKILL.md:5
中危 外部 URL
https://agentdrive.360.cn/cli SKILL.md:6
中危 外部 URL
https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=$ SKILL.md:93
中危 外部 URL
https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=手机号 SKILL.md:132
中危 外部 URL
https://agentdrive.360.cn/cli/installation SKILL.md:221
中危 外部 URL
https://agentdrive.360.cn/cli/commands SKILL.md:980
中危 外部 URL
https://agentdrive.360.cn/cli/advanced SKILL.md:981
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| @aicloud360/agentdrive | * | npm | 否 | 无版本锁定，供应链风险；实际代码未审查，行为依赖第三方 CLI |
| openapi.eyun.360.cn | external-api | http | 否 | 360 云盘外部 API，用于手机号获取 API Key，无 HTTPS 强制声明 |
文件构成
1 个文件 · 988 行
Markdown 1 个文件 · 988 行
需关注文件 · 1
SKILL.md npm 依赖无版本锁定 · 用户手机号通过外部 API 传输 · 静默后台定时任务注册 · 龙虾根目录特征打分涉及目录结构枚举 · 外部 CLI 工具行为未审查 · https://agentdrive.360.cn · https://agentdrive.360.cn/cli · https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=$ · https://openapi.eyun.360.cn/intf.php?method=Oauth.getApiKeyByMobile&mobile=手机号 · https://agentdrive.360.cn/cli/installation · https://agentdrive.360.cn/cli/commands · https://agentdrive.360.cn/cli/advanced
安全亮点
纯文档 Skill，无内嵌可执行代码，无法直接通过 Skill 本身执行恶意操作
文档详细描述了所有操作流程，无明显影子功能（shadow functionality）
未发现 base64 编码、eval、裸 IP 请求、隐藏指令等高危特征
API Key 不回显到聊天、日志或仓库的声明是好的安全实践
根目录识别有明确打分约束，避免误识别 workspace
备份范围限制在龙虾自身根目录内，声明了不跨目录搜索