安全决策报告
aigate
纯文档型部署技能，声称功能与实际代码（外部GitHub项目）一致，无恶意行为，文档详尽描述了高能力带来的风险和缓解措施。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 2 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
通过
依赖与供应链卫生
依赖结构存在，但暂未看到明显高危告警。
风险分是怎么被拉高的
纯文档技能 +-10
无实际可执行脚本，仅为部署指南
高能力栈声明 +15
文档明确描述了代码执行、浏览器自动化、凭证聚合等高风险能力，但提供了充分的缓解措施
文档完整透明 +-15
Security & safety章节详尽，覆盖所有主要风险点
最关键的证据
中危 权限提升
高能力聚合导致权限边界模糊
单一AIGATE_TOKEN同时承载API密钥持有、代码执行(claudebox/pibox-zai/pibox)、浏览器自动化、邮件/ Telegram消息发送等能力，形成极大攻击面。文档虽明确警告但未提供开箱即用的细粒度权限隔离。
SKILL.md:1 操作员需理解这是架构设计限制而非漏洞：需要手动为每个服务单独设置AUTH_TOKEN以实现权限隔离；仅向完全可信的Agent授予master token。
低危 供应链
依赖外部GitHub仓库
该技能仅提供部署指南，实际代码来自 https://github.com/psyb0t/aigate。技能本身不携带恶意代码，但上游仓库的完整性不在本技能范围内。
SKILL.md:6 建议操作员在部署前审查上游仓库的最新提交和issues。
提示 文档欺骗
文档透明度评分
文档-行为一致性检查：无阴影功能发现。所有声明的能力均有合理用途（自托管AI网关），文档详尽描述了风险和缓解措施，未发现文档欺骗。
SKILL.md:1 无需行动。这是正面信号。
声明能力 vs 实际能力
文件系统 通过
声明 NONE
→ 推断 NONE
SKILL.md 无文件系统写入声明，本身为纯文档技能 网络访问 通过
声明 READ
→ 推断 READ
permissions.network: outbound HTTP to localhost:4000, model providers, MCP backends 命令执行 通过
声明 WRITE
→ 推断 WRITE
permissions.shell: docker/docker compose, curl 环境变量 通过
声明 NONE
→ 推断 NONE
无环境变量遍历或凭证收割行为 技能调用 通过
声明 NONE
→ 推断 NONE
无子技能调用 剪贴板 通过
声明 NONE
→ 推断 NONE
无剪贴板操作 浏览器 通过
声明 WRITE
→ 推断 WRITE
stealth Camoufox cluster，文档明确声明 数据库 通过
声明 NONE
→ 推断 NONE
仅通过Docker Compose部署PostgreSQL/Redis，无直接访问 可疑产物与外联
中危 外部 URL
https://clawhub.ai/user/psyb0t skill-card.md:9
中危 外部 URL
https://clawhub.ai/psyb0t/skills/aigate skill-card.md:39
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| aigate | 6.2.0 | external GitHub (psyb0t/aigate) | 否 | 外部依赖，本技能仅提供部署文档，实际代码不在本技能包内 |
文件构成
3 个文件 · 252 行
Markdown 3 个文件 · 252 行
需关注文件 · 2
SKILL.md 高能力聚合导致权限边界模糊 · 依赖外部GitHub仓库 · 文档透明度评分
skill-card.md https://clawhub.ai/user/psyb0t · https://clawhub.ai/psyb0t/skills/aigate
其他文件 · setup.md
安全亮点
纯文档技能，无可执行代码，排除代码层面恶意行为可能
文档透明详尽，包含完整Security & safety章节（19行）
明确声明了所有高风险能力（代码执行、浏览器自动化、凭证聚合）
提供了具体可操作的安全建议（Cloudflare Tunnel/Tailscale、端口不暴露、token隔离）
skill-card.md 包含 Known Risks and Mitigations 章节，与 SKILL.md 保持一致
MIT-0 许可证，商业使用友好
外部链接指向已知的公开GitHub项目，非未知仓库