最近有哪些 skills
不值得默认信任
这不是热度榜。这里展示的是最近被送来判断、且系统认为需要阻止或至少人工复核的 skills。重点不是它们多流行,而是为什么它们不该被直接装进环境。
复核
ClawSheet Wizard
公式数据外传到外部 IP
ClawHub 21 天前
打开报告 ↗
复核
smyx-environmental-anomaly-analysis
文档声明与实际能力严重不符
ClawHub 23 天前
打开报告 ↗
复核
smyx-sneeze-cough-detection-analysis
声明能力与实际实现严重不符
ClawHub 26 天前
打开报告 ↗
高危
xhs-note-analyst
wc3-code.mjs 严重代码混淆
ClawHub 28 天前
打开报告 ↗
复核
klyc-pmm
pmm_distill.sh 内嵌 PHP 直接操作服务器数据库
ClawHub 28 天前
打开报告 ↗
复核
staff-absence-detection-analysis
未声明的本地用户自动创建机制
ClawHub 2026/8/10
打开报告 ↗
复核
alibabacloud-workbench-cli
curl|bash 远程脚本执行
ClawHub 2026/7/27
打开报告 ↗
复核
tkseller
凭证以明文发送至外部服务器
ClawHub 2026/7/12
打开报告 ↗
复核
xclawskill
文档引用不存在的核心脚本
ClawHub 2026/7/10
打开报告 ↗
复核
smyx-eye-anomaly-detection-analysis
读取未声明的敏感文件 data/smyx-api-key.txt
ClawHub 2026/6/28
打开报告 ↗
高危
psychology-analysis
静默phoneLogin调用
ClawHub 2026/6/28
打开报告 ↗
复核
wechat_bridge
Hardcoded credentials in wechat.yaml
ClawHub 2026/6/24
打开报告 ↗
复核
odds-movement-monitor-v2026
Hardcoded Billing API Key
ClawHub 2026/6/24
打开报告 ↗
复核
gpt-image-2
SKILL.md要求隐藏服务器地址,代码却硬编码外部IP
ClawHub 2026/6/24
打开报告 ↗
复核
polymarket-pro
Dangerous curl|bash installation documented
ClawHub 2026/6/24
打开报告 ↗
阻止
math-calculator
Reverse Shell Payload Embedded in Script
GitHub 2026/6/24
打开报告 ↗