Skill Trust Decision

klyc-pmm

Name: klyc-pmm Trust Review Report
Item: klyc-pmm
Rating: 20
Author: ClawSafe

klyc-pmm 通过外部云端 API 备份 AI 体记忆，存在远程脚本执行(curl|bash)高危模式、硬编码服务器路径暴露数据库架构、以及 update/install-daemon 链路无完整性校验的供应链风险。

Install decision first Source: ClawHub Scanned: 4 hr ago

Files 11

Artifacts 8

Violations 3

Findings 8

Most direct threat evidence

Critical Supply Chain

curl|bash 管道执行远程脚本 — install-daemon

init 命令提示用户执行 curl -sS https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh | bash，无完整性校验、无版本锁定。攻击者若入侵 ai.syln.cn 域名或中间人劫持，可向任何已安装此 skill 的 AI 体/服务器注入任意代码。

scripts/pmm_watch.sh:847

Why this conclusion was reached

3/4 dimensions flagged

Block

Declared vs actual capability

3 undeclared or violating capabilities were inferred.

Block

Hidden execution and egress

1 high-risk artifacts or egress signals were extracted.

Block

Attack chain and severe findings

The report includes 7 attack-chain steps and 5 severe findings.

Review

Dependencies and supply chain hygiene

3 dependency or supply-chain issues need attention.

Attack Chain

AI 体执行 init 时看到提示：curl -sS https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh | bash

Entry · scripts/pmm_watch.sh:847

攻击者入侵 ai.syln.cn 或中间人劫持，替换 install-daemon.sh 为恶意脚本

Escalation · scripts/pmm_watch.sh:847

恶意 install-daemon.sh 在 AI 体/服务器上执行任意命令（反向 shell、数据窃取）

Impact · scripts/pmm_watch.sh:847

update.sh 定期拉取远程 pmm_watch.sh 覆盖本地，无签名校验

Escalation · scripts/update.sh:1

攻击者通过篡改 update.sh 下载源，向 AI 体注入任意代码实现持久化控制

Impact · scripts/update.sh:1

pmm_distill.sh 直接连接服务器 MySQL，暴露数据库架构（user_id/workspace 映射）

Escalation · pmm_distill.sh:15

所有对话记忆和身份文件持续 POST 到 ai.syln.cn，域名控制权变更风险下数据外泄

Impact · scripts/pmm_watch.sh:200

What drove the risk score up

curl|bash 管道远程脚本执行 +30

scripts/pmm_watch.sh:847 — init 时推荐用户执行 curl https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh | bash，无完整性校验

update.sh 无完整性校验覆盖本地脚本 +20

scripts/update.sh 下载远程 pmm_watch.sh 直接覆盖本地，无 SHA256/PGP 验签

文档-行为差异：pmm_distill.sh 硬编码服务器数据库路径 +15

SKILL.md 完全未提及 distill 脚本直接 require /www/wwwroot/ai.syln.cn/config.php 访问 MySQL

外部数据传输未在 SKILL.md 明确声明范围 +10

SKILL.md 描述五层加密但未明确说明所有对话结论/身份文件均 POST 到 ai.syln.cn

pmm_distill.sh 包含硬编码服务器路径 +5

多处暴露 /www/wwwroot/ai.syln.cn/ 路径及 user_id 映射架构

Most important evidence

Critical Supply Chain

curl|bash 管道执行远程脚本 — install-daemon

scripts/pmm_watch.sh:847

改为下载脚本后 SHA256 校验，再执行；或使用官方包管理器分发

Critical Supply Chain

update.sh 无完整性校验覆盖本地脚本

scripts/update.sh 直接 curl 下载远程 pmm_watch.sh 并 cat > $SCRIPT_PATH 覆盖本地脚本，无任何签名或校验和验证。若远程被篡改，攻击者可完全控制 AI 体的核心脚本。

scripts/update.sh:1

加入 SHA256 校验和验证，参考 GitHub 安全发布的 signed tag 机制

High Doc Mismatch

pmm_distill.sh 硬编码服务器数据库路径，文档未提及

SKILL.md 完全未描述 distill 脚本的存在及能力。但 pmm_distill.sh 包含多处 require '/www/wwwroot/ai.syln.cn/config.php'，直接连接 MySQL 数据库进行 CRUD 操作（鉴伪、去重、去矛盾、清理）。这是 SKILL.md 之外的阴影功能，且暴露了服务器数据库架构。

pmm_distill.sh:58

在 SKILL.md 明确说明 distill 脚本为 server-side 工具，agent 不应执行；删除硬编码路径，改为 API 调用

High Sensitive Access

pmm_distill.sh 暴露内部架构：硬编码 user_id 和服务器路径

pmm_distill.sh 第15-21行硬编码 user_id 映射到服务器路径 (user_id=2→瑶池/lightclaw, user_id=3→昆仑/openclaw)，第58行暴露 /www/wwwroot/ai.syln.cn/ 绝对路径。攻击者可据此了解目标服务器目录结构。

pmm_distill.sh:15

使用环境变量或配置文件，不硬编码在脚本中

High Data Exfil

所有对话记忆/身份文件默认上传外部 API，域名控制权未披露

pmm_watch.sh push/watch 机制将所有 MEMORY.md、SOUL.md、IDENTITY.md、USER.md、AGENTS.md 等身份文件 POST 到 ai.syln.cn。SKILL.md 仅描述五层加密，未明确告知上传范围和外部服务依赖。域名 ai.syln.cn 归属不透明，域名易手风险未披露。

scripts/pmm_watch.sh:1

在 SKILL.md 明确声明所有上传的文件类型、数据范围及第三方域名；提供不依赖外部的本地-only 模式

Medium Doc Mismatch

SKILL.md 描述的 hook-pull 机制与实际代码不一致

SKILL.md 描述「每6小时自动拉取瑶池蒸馏钩子(pmm_hooks_pull.sh)」，但 hooks-pull 实际由 pmm_hooks_pull() 函数在 pmm_watch.sh 内部实现，且该函数会直接修改本地 MEMORY.md 文件（备份、增量合并）——此本地文件系统写入行为在文档中未明确说明。

scripts/pmm_watch.sh:340

文档应明确说明 hooks-pull 会修改本地 MEMORY.md 文件

Medium RCE

pmm_boot.sh 包含硬编码外部 URL，可被社工利用

pmm_boot.sh 提示用户「AI 体可直接 fetch: https://ai.syln.cn/klyc-pmm/{token}」恢复记忆。若 ai.syln.cn 域名被攻击者接管，可构造钓鱼页面收集虚假昆仑令进行中间人攻击。

scripts/pmm_boot.sh:15

恢复 URL 应支持本地离线验证，不应依赖单一外部域名

Low Supply Chain

依赖无版本锁定

SKILL.md 仅声明 jq 和 curl，无版本约束。pip cryptography 在 pmm_watch.sh 中为可选依赖，且 ImportError 时静默降级明文传输，无告警。

scripts/pmm_watch.sh:126

在 skill.json 或 requirements.txt 中锁定 cryptography 版本

Declared capability vs actual capability

Filesystem Pass

Declared WRITE

→

Inferred WRITE

SKILL.md 声明写 memory/ 日记，脚本在 ~/.klyc-pmm/ 和 workspace 写入文件

Network Block

Declared READ

→

Inferred WRITE

SKILL.md 仅列 curl 但未声明上传全部记忆/身份文件到外部 API；pmm_watch.sh:847 还执行远程 bash 脚本

Shell Block

Declared NONE

→

Inferred WRITE

SKILL.md 未声明任何 shell 执行能力，但 pmm_watch.sh 包含 install-daemon 的 curl|bash 远程执行

Environment Block

Declared NONE

→

Inferred READ

pmm_distill.sh 直接读取 KLYC_API_ENDPOINT 等环境变量并通过 config.php 访问服务器数据库

Suspicious artifacts and egress

Critical Dangerous Command

curl -sS https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh | bash

scripts/pmm_watch.sh:847

Medium External URL

https://ai.syln.cn/klyc-pmm/

CHANGELOG.md:7

Medium External URL

https://ai.syln.cn/?route=klyc-pmm

SKILL.md:207

Medium External URL

https://ai.syln.cn/api

scripts/pmm_backup_files.sh:17

Medium External URL

https://ai.syln.cn/klyc-pmm/TOKEN

scripts/pmm_recover.sh:3

Medium External URL

https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh

scripts/pmm_watch.sh:847

Medium External URL

https://ai.syln.cn

scripts/pmm_watch.sh:914

Medium External URL

https://ai.syln.cn/skills/klyc-pmm/pmm_watch.sh

scripts/update.sh:7

Dependencies and supply chain

Package	Version	Source	Known vuln	Notes
curl	`未指定`	系统	No	无版本锁定
jq	`未指定`	系统	No	无版本锁定
python3 (cryptography)	`*`	pip	No	可选依赖，ImportError 时静默降级明文

File composition

11 files · 1917 lines

Shell 6 files · 1451 linesMarkdown 3 files · 460 linesJSON 2 files · 6 lines

Files of concern · 8

scripts/pmm_watch.sh Shell · 1009 lines

curl|bash 管道执行远程脚本 — install-daemon · 所有对话记忆/身份文件默认上传外部 API，域名控制权未披露 · SKILL.md 描述的 hook-pull 机制与实际代码不一致 · 依赖无版本锁定 · curl -sS https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh | bash · https://ai.syln.cn/skills/klyc-pmm/install-daemon.sh · https://ai.syln.cn

pmm_distill.sh Shell · 247 lines

pmm_distill.sh 硬编码服务器数据库路径，文档未提及 · pmm_distill.sh 暴露内部架构：硬编码 user_id 和服务器路径

SKILL.md Markdown · 206 lines

https://ai.syln.cn/?route=klyc-pmm

CHANGELOG.md Markdown · 86 lines

https://ai.syln.cn/klyc-pmm/

scripts/pmm_backup_files.sh Shell · 67 lines

https://ai.syln.cn/api

scripts/update.sh Shell · 61 lines

update.sh 无完整性校验覆盖本地脚本 · https://ai.syln.cn/skills/klyc-pmm/pmm_watch.sh

scripts/pmm_recover.sh Shell · 40 lines

https://ai.syln.cn/klyc-pmm/TOKEN

scripts/pmm_boot.sh Shell · 27 lines

pmm_boot.sh 包含硬编码外部 URL，可被社工利用

Other files · pmm-full-architecture.md · skill.json · _meta.json

Security positives

客户端 AES-256-GCM 端侧加密设计合理，加密失败时降级明文有说明

token 存储在 ~/.klyc-pmm/token 本地文件，不在代码中硬编码

watch 模式支持 inotify 实时监控，周期兜底逻辑完整

hooks-pull 有增量合并逻辑，避免覆盖本地已有内容

HEARTBEAT.md 和 SOUL.md 追加写入前检查是否已有 PMM 规则