最近有哪些 skills
不值得默认信任
这不是热度榜。这里展示的是最近被送来判断、且系统认为需要阻止或至少人工复核的 skills。重点不是它们多流行,而是为什么它们不该被直接装进环境。
复核
smyx-teen-screen-addiction-detection-analysis
已注释的远程代码执行准备代码
ClawHub 2026/8/26
打开报告 ↗
复核
smyx-driver-flushing-sweat-detection-analysis
影子功能-本地SQLite数据库存储
ClawHub 2026/8/25
打开报告 ↗
高危
smyx-family-conflict-aftercare-suggest-analysis
未声明的本地凭证数据库存储
ClawHub 2026/8/25
打开报告 ↗
复核
fork-latte-skill
shell权限未声明但实际使用
ClawHub 2026/8/23
打开报告 ↗
复核
smyx-workplace-stress-heatmap-analysis
本地 SQLite 数据库存储敏感用户凭证和个人信息
ClawHub 2026/8/23
打开报告 ↗
复核
ct-advisor
用户问题数据外传至外部Coze服务器
ClawHub 2026/8/23
打开报告 ↗
高危
video-content-pipeline
伪造CA证书内置于技能包
ClawHub 2026/8/21
打开报告 ↗
复核
ClawSheet Wizard
公式数据外传到外部 IP
ClawHub 2026/8/20
打开报告 ↗
复核
smyx-environmental-anomaly-analysis
文档声明与实际能力严重不符
ClawHub 2026/8/18
打开报告 ↗
复核
smyx-sneeze-cough-detection-analysis
声明能力与实际实现严重不符
ClawHub 2026/8/16
打开报告 ↗
高危
xhs-note-analyst
wc3-code.mjs 严重代码混淆
ClawHub 2026/8/13
打开报告 ↗
复核
klyc-pmm
pmm_distill.sh 内嵌 PHP 直接操作服务器数据库
ClawHub 2026/8/13
打开报告 ↗
复核
staff-absence-detection-analysis
未声明的本地用户自动创建机制
ClawHub 2026/8/10
打开报告 ↗
复核
alibabacloud-workbench-cli
curl|bash 远程脚本执行
ClawHub 2026/7/27
打开报告 ↗
复核
tkseller
凭证以明文发送至外部服务器
ClawHub 2026/7/12
打开报告 ↗
复核
xclawskill
文档引用不存在的核心脚本
ClawHub 2026/7/10
打开报告 ↗