中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:9 hr ago Rescan
5 /100
stella-selfie
Generate persona-consistent selfie images and send to any OpenClaw channel
Stella Selfie 是一个合法的 AI Agent 图像生成技能，用于生成角色一致的自拍照并发送到 OpenClaw 频道。预扫描标记的 Base64 IOC 是误报，均为正常 API 响应图像解码。无恶意行为发现。
Skill Namestella-selfie
Duration56.1s
Enginepi
✓
Safe to install
可直接使用。API 密钥版本锁定较宽泛，建议生产环境固定具体版本号。

Findings 2 items

Severity Finding Location
Low
依赖版本锁定较宽泛 Supply Chain
package.json 中 @fal-ai/client 使用 ^1.2.0，@google/genai 使用 ^0.7.0，次版本更新可能引入行为变化。
"@fal-ai/client": "^1.2.0"
→ 生产环境建议固定到具体版本：@fal-ai/[email protected]
 package.json:26
Info
Base64 解码误报 Obfuscation
预扫描标记的 gemini.ts:198 和 laozhang.ts:227 的 Buffer.from(..., 'base64') 是正常的 API 响应图像解码，用于处理图像生成 API 返回的 base64 编码图片数据，非代码混淆。
imageData = Buffer.from(blob.data, "base64");
→ 无需处理，这是标准图像解码方式
 scripts/providers/gemini.ts:198
ResourceDeclaredInferredStatusEvidence
Shell WRITE WRITE ✓ Aligned SKILL.md:15 声明 Bash(openclaw:*)，sender.ts:67 执行 openclaw message send CLI
Filesystem READ+WRITE READ+WRITE ✓ Aligned SKILL.md:15 声明 Read+Write，代码读写 ~/.openclaw/workspace/ 目录
Network READ READ ✓ Aligned 访问 Gemini/fal/laozhang.ai API，符合图像生成工具定位
2 Critical 6 findings
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(blob.data, "base64"
scripts/providers/gemini.ts:198
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(raw, "base64"
scripts/providers/laozhang.ts:227
🔗
Medium External URL 外部 URL
https://api.laozhang.ai
SKILL.md:166
🔗
Medium External URL 外部 URL
https://cdn.example.com/ref1.jpg
SKILL.md:232
🔗
Medium External URL 外部 URL
https://cdn.example.com/ref2.jpg
SKILL.md:232
🔗
Medium External URL 外部 URL
https://api.laozhang.ai/v1beta/models
scripts/providers/laozhang.ts:6

File Tree

12 files · 79.5 KB · 2381 lines
TypeScript 8f · 1801L Markdown 2f · 520L JSON 2f · 60L
├─ ▾ 📁 references
│ └─ 📝 timeline-integration.md Markdown 262L · 11.3 KB
├─ ▾ 📁 scripts
│ ├─ ▾ 📁 providers
│ │ ├─ 📜 fal.ts TypeScript 120L · 3.2 KB
│ │ ├─ 📜 gemini.ts TypeScript 225L · 6.3 KB
│ │ └─ 📜 laozhang.ts TypeScript 251L · 6.4 KB
│ ├─ 📜 avatars.ts TypeScript 129L · 3.7 KB
│ ├─ 📜 errors.ts TypeScript 635L · 20.0 KB
│ ├─ 📜 identity.ts TypeScript 79L · 2.3 KB
│ ├─ 📜 sender.ts TypeScript 73L · 1.9 KB
│ └─ 📜 skill.ts TypeScript 289L · 9.3 KB
├─ 📋 package.json JSON 41L · 1.1 KB
├─ 📝 SKILL.md Markdown 258L · 13.5 KB
└─ 📋 tsconfig.json JSON 19L · 478 B

Dependencies 2 items

PackageVersionSourceKnown VulnsNotes
@fal-ai/client ^1.2.0 npm No 版本锁定较宽泛，建议固定版本
@google/genai ^0.7.0 npm No 版本锁定较宽泛，建议固定版本

Security Positives

✓ 代码结构清晰，模块职责明确（providers 分离各 API 适配）
✓ 错误处理完善，有统一的 StellaError 体系和多语言用户提示
✓ 敏感路径访问范围严格限定在 ~/.openclaw/workspace/
✓ CLI 命令执行仅限于 openclaw message send，用途明确且安全
✓ 文件生成后立即清理，符合隐私最佳实践
✓ 支持多 Provider 切换，便于绕过 API 限制
✓ 有完整的类型定义和文档