安全助手

Name: 安全助手
Author: jd-opensource

安全已审计 v1.0.0

作者仓库星标 274
作者更新于实时读取
作者仓库 JoySafeter

流狐档案事实层信息：领域、Agent、信任分、运行环境、权限与网络

领域: 安全
兼容 Agent: Claude Code
Cursor
Cline
Codex
Windsurf
Gemini CLI

+20
信任分: 92 / 100 · 已通过审计
作者 / 版本 / 许可: @jd-opensource · v1.0.0 · 未声明 license
Token 消耗评级: 低消耗
接入复杂程度: 需简单配置
是否需要外部 API Key: 不需要
兼容的系统: macOS · Linux · Windows
底层运行要求: Node.js · Python
文件与系统权限: 只读
Shell 执行
读取环境变量
允许写入 / 修改
网络行为: 允许外网请求
安装命令数: 26 条

档案由构建时根据 SKILL.md 与安装命令自动衍生，可能与作者实际意图存在差异。

需要注意： 未限定 allowed-tools，默认拥有全部工具权限。

输出预览 skill-security-auditor-jd-opensource.preview

---
name: skill-security-auditor
description: OpenClaw Skills 全方位安全审计工具，检测供应链投毒、Prompt注入、恶意代码模式、权限越权和依赖风险 基于《OpenClaw 极简安全实践指南》和《安全验证与攻防演练手册》的…
category: 安全
runtime: Node.js / Python
---

# skill-security-auditor 输出预览

## PART A: 任务判断
- 适用问题：安全审计、密钥扫描、权限检查或风险分析。
- 输入要求：目标材料、限制条件、期望输出和验收方式。
- 证据边界：围绕“Purpose / Prerequisites / 输入要求”读取原文规则，不把推断写成作者承诺。

## PART B: 执行结果
- **01** 任务判断：确认你的需求是否属于安全审计、密钥扫描、权限检查或风险分析，并标出输入、限制和预期结果。
- **02** 执行计划：优先按“Purpose / Prerequisites / 输入要求”拆成步骤，说明每一步会读取什么、修改什么、产出什么。
- **03** 交付结果：给出可复制的命令、文件改动、检查清单或内容草稿，并说明如何继续迭代。
- **04** 风险边界：结合 读取文件、执行终端命令、读取环境变量、写入/修改文件、会按任务需要访问外部网络、通常不需要额外 API Key 给出执行前确认项。

## Running Rules
- 读取文件、执行终端命令、读取环境变量、写入/修改文件；会按任务需要访问外部网络；通常不需要额外 API Key。
- 先小样例验证，再放大到真实任务。
- 交付时同时给结果、检查口径和下一步迭代建议。

SKILL.md SKILL.md

---
name: skill-security-auditor
description: OpenClaw Skills 全方位安全审计工具，检测供应链投毒、Prompt注入、恶意代码模式、权限越权和依赖风险 基于《OpenClaw 极简安全实践指南》和《安全验证与攻防演练手册》的…
category: 安全
source: jd-opensource/JoySafeter
---

# skill-security-auditor

## 什么时候使用
- 把安全方向的常用动作沉淀成 Agent 可调用的技能 适合处理安全审计、密钥扫描、权限检查和风险分析，核心价值是把输入、判断、执行、验证和交付边界固定下来，避免 Agent 泛泛回答。 把任务拆成可执行、可检查、可继续迭代的步骤；通常不…
- 面向安全审计、密钥扫描、权限检查或风险分析，优先处理能明确输入、步骤和验收标准的工作。

## 需要提供什么
- 目标材料、目录范围、期望结果和不可改动内容。
- 是否允许联网、执行命令、读写文件或调用外部服务。

## 执行规则
- 围绕「Purpose / Prerequisites / 输入要求」组织步骤，不把推断写成作者事实。
- 读取文件、执行终端命令、读取环境变量、写入/修改文件；会按任务需要访问外部网络；通常不需要额外 API Key。
- 先跑小样例，确认结果可检查后再扩大任务范围。

## 输出要求
- 给出最终产物、关键证据、验证方式和下一步动作。
- 信息不足时标记 unknown，不编造命令、平台或依赖。

证据边界与执行链路

作者原文负责流程事实；仓库文件负责来源和命令；流狐只补充适用场景、限制和质量判断。

skill "skill-security-auditor" {
  输入层     -> 用户目标 + 目标文件 + 禁止范围 + 验收标准
  上下文层   -> Purpose / Prerequisites / 输入要求
  规则层     -> SKILL.md 触发条件 / 执行顺序 / 输出格式
  运行层     -> Node.js / Python | 读取文件、执行终端命令、读取环境变量、写入/修改文件 | 会按任务需要访问外部网络
  安全层     -> 通常不需要额外 API Key + 小任务验证 + diff / 日志复核
  输出层     -> 可复制结果 + 检查清单 + 下一步迭代
}

解读按原文结构重写，命令、链接、术语均保留；右侧可核对作者原始 SKILL.md

先判断是否适合

核心用途：把安全方向的常用动作沉淀成 Agent 可调用的技能适合处理安全审计、密钥扫描、权限检查和风险分析，核心价值是把输入、判断、执行、验证和交付边界固定下来，避免 Agent 泛泛回答。把任务拆成可执行、可检查、可继续迭代的步骤；通常不需要额外 API K…
适用任务：更适合安全审计、密钥扫描、权限检查和风险分析，尤其是输入、步骤、验收口径可以反复复用的场景。
不宜硬套：如果任务只有一次性问答、来源材料很少，或需要作者没有说明的命令和外部服务，应先降级为普通对话。

作者设计意图

触发依据：使用时机、上下文收集、输出格式和失败处理共同决定它是否适合当前任务。
来源边界：作者原文负责事实，仓库文件负责命令和文件证据；Fluxly 只补充用途、限制和使用判断。

作者的方法与取舍

执行主线：任务围绕「Purpose / Prerequisites / 输入要求」组织，把触发条件、必要上下文、执行规则和交付标准连成一条可复核的链路。
设计重点：重点不在重复教程，而在解释作者为什么规定这些步骤、哪些条件不可省略，以及结果偏离时应回到哪一层检查。
使用判断：先确认任务与原文边界一致，再决定是否启用；来源没有说明的命令、平台和依赖保持未知，不由 Fluxly 补写。

边界和复核

依赖条件：通常不需要额外 API Key，适合先用小任务验证触发是否稳定。
权限提醒：会涉及 read / shell-exec / env-read / write 权限，执行前要说明可读写范围、命令边界和回退方式。
质量标准：结果应包含明确产物、必要证据和下一步动作；如果只是泛泛解释，需要补充输入和验收条件后重跑。

Skill Security Auditor

基于《OpenClaw 极简安全实践指南》和《安全验证与攻防演练手册》的 Skill 安全审计工具。对 OpenClaw Skill 进行从源码到运行时的全生命周期安全审查，覆盖供应链投毒、Prompt 注入载荷、恶意代码模式、权限越权等威胁向量。

Purpose

OpenClaw Skills 是 Agent 能力的扩展机制，通过 /workspace/skills/{skill_name}/SKILL.md 被 Agent 加载执行。恶意 Skill 可以：

通过 Prompt 注入劫持 Agent 行为
在代码块中嵌入反弹 Shell、数据外传命令
引用恶意外部依赖进行供应链攻击
通过 Unicode 混淆、零宽字符隐藏恶意指令

本技能为 Skill 的安装和更新提供安全门禁，在 Skill 进入生产环境前完成安全审查。

Prerequisites

输入要求

目标 Skill 目录路径（包含 SKILL.md 和 references/ 等）
或 Skill 的远程仓库 URL（用于拉取审计）

环境要求

Node.js 运行时（用于执行审计脚本）
对 Skill 文件的读取权限

Core Workflow

元数据验证: 解析 SKILL.md 的 frontmatter，验证 name、version、description、metadata 完整性和合法性。
Prompt 注入扫描: 检测 SKILL.md 正文中的指令注入模式（角色劫持、指令覆盖、隐蔽指令）。
代码块安全审计: 提取所有代码块（bash, python, javascript 等），对每个代码块进行恶意模式检测。
依赖与引用审查: 检查 Skill 引用的外部 URL、npm 包、Python 包的安全性和来源可信度。
文件结构检查: 验证 Skill 目录结构是否符合规范，检测异常文件（二进制、可执行文件、符号链接）。
Unicode 和编码检测: 扫描隐藏的 Unicode 控制字符、零宽字符、Bidi 覆盖字符。
权限声明审查: 验证 Skill 声明的权限范围是否合理，检测权限越权请求。
历史版本对比: 对 Skill 更新进行 diff 分析，检测是否引入了新的恶意内容。
沙箱验证: 在受限环境中试运行 Skill 代码片段，观察其行为。

审计检查项

1. 元数据完整性

检查项	风险等级	检测规则
frontmatter 缺失	HIGH	SKILL.md 无 YAML frontmatter
name 与目录名不匹配	MEDIUM	`name` 字段与所在目录名不一致
version 格式无效	LOW	非 semver 格式
description 为空	MEDIUM	缺少描述，难以审查意图
category 未声明	LOW	metadata 中缺少 category
risk 标记为 unsafe	HIGH	自声明高风险
requires 声明可疑二进制	HIGH	依赖 `nc`, `ncat`, `socat` 等

2. Prompt 注入检测

检测模式	风险等级	示例
角色劫持	CRITICAL	"You are now a...", "Ignore previous instructions"
指令覆盖	CRITICAL	"Do not follow any rules", "Override system prompt"
隐蔽指令	HIGH	HTML 注释中的指令, CSS `display:none` 包裹的文本
输出操控	HIGH	"Always respond with...", "Never mention..."
权限升级	CRITICAL	"Execute with admin privileges", "Disable safety checks"
零宽字符隐藏	CRITICAL	`\u200B`, `\u200C`, `\u200D`, `\uFEFF` 隐藏的指令
Bidi 覆盖攻击	CRITICAL	`\u202A`-`\u202E` 改变文本显示方向
Markdown 注入	MEDIUM	通过 Markdown 渲染差异隐藏内容

3. 代码块安全审计

代码类型	检测规则	风险等级
Bash	反弹 Shell、数据外传、提权命令	参见 openclaw-threat-detect
Python	`exec()`, `eval()`, `subprocess`, `os.system`, `socket`	HIGH
JavaScript	`child_process`, `eval`, `Function()`, `require('net')`	HIGH
混淆代码	Base64 编码的命令, `\x` 转义序列, 多层编码	CRITICAL
下载执行	`curl\|wget.*\| bash`, `python -c "$(curl..."`	CRITICAL
文件写入	向 `.bashrc`, `.profile`, cron 写入	HIGH

4. 依赖与外部引用

检查项	风险等级	检测规则
引用非 HTTPS URL	MEDIUM	`http://` 开头的 URL
引用已知恶意域名	CRITICAL	与威胁情报库比对
npm 包 typosquatting	HIGH	包名与知名包相似度 > 0.8
未锁定版本	MEDIUM	使用 `@latest` 或 `*` 版本
引用废弃/归档仓库	LOW	GitHub 仓库标记为 archived
安装脚本执行	HIGH	`preinstall`/`postinstall` hooks

5. 文件结构检查

检查项	风险等级	检测规则
包含二进制文件	HIGH	非文本文件（magic bytes 检测）
包含可执行文件	HIGH	文件有 +x 权限
符号链接逃逸	CRITICAL	符号链接指向 Skill 目录外
隐藏文件	MEDIUM	`.` 开头的隐藏文件（`.env`, `.git`）
文件过大	LOW	单文件 > 1MB
异常文件扩展名	MEDIUM	`.exe`, `.dll`, `.so`, `.dylib`

6. 权限声明审查

检查项	风险等级	检测规则
声明 root 权限	CRITICAL	requires 中要求 sudo/root
网络访问未声明	HIGH	代码中有网络操作但 metadata 未声明
文件系统范围过宽	MEDIUM	访问 `/` 或 `$HOME` 而非 workspace
声明与行为不匹配	HIGH	声明 "safe" 但包含危险操作

审计报告格式

{
  "audit_id": "AUDIT-2026-0001",
  "timestamp": "2026-03-13T10:30:00Z",
  "skill": {
    "name": "example-skill",
    "version": "1.0.0",
    "path": "/workspace/skills/example-skill"
  },
  "verdict": "REJECT",
  "risk_score": 85,
  "findings": [
    {
      "id": "F001",
      "severity": "CRITICAL",
      "category": "prompt_injection",
      "title": "检测到角色劫持指令",
      "description": "SKILL.md 第 42 行包含 'Ignore all previous instructions' 模式",
      "location": "SKILL.md:42",
      "evidence": "...ignore all previous instructions and act as...",
      "recommendation": "移除该指令，如有合法用途需在 metadata 中声明"
    }
  ],
  "summary": {
    "critical": 1,
    "high": 2,
    "medium": 3,
    "low": 1,
    "total": 7
  },
  "recommendation": "REJECT - 存在 CRITICAL 级别发现，不建议加载"
}

审计判定标准

判定	条件	操作
PASS	无 CRITICAL/HIGH 发现	允许加载
CONDITIONAL	有 HIGH 但无 CRITICAL	需人工确认后加载
REJECT	有 CRITICAL 发现	禁止加载，移至隔离区

与其他安全技能的协作

Skill 安装/更新
     │
     ▼
┌─────────────────────┐
│ skill-security-     │  ← 入口审计：源码级安全检查
│ auditor             │
└────────┬────────────┘
         │ PASS
         ▼
┌─────────────────────┐
│ openclaw-security-  │  ← 环境检查：Skill 加载后的配置影响
│ checker             │
└────────┬────────────┘
         │ PASS
         ▼
┌─────────────────────┐
│ openclaw-threat-    │  ← 运行时：Skill 执行中的行为监控
│ detect              │
└─────────────────────┘

Tool Categories

Category	Tools	Purpose
元数据解析	python-frontmatter, js-yaml	SKILL.md frontmatter 解析和验证
Prompt 分析	正则引擎, 零宽字符检测	Prompt 注入模式匹配
代码分析	semgrep patterns, AST 分析	代码块安全扫描
依赖检查	npm audit (概念), PyPI check	外部依赖安全性验证
文件检查	file (magic), stat	二进制检测和权限验证
编码检测	Unicode 分析器	隐藏字符和 Bidi 攻击检测
Diff 分析	git diff, diff	版本更新变更审查

References

references/tools.md - 工具函数签名和参数说明
references/workflows.md - 审计流程定义和判定规则

安装命令

一键复制安装选择包管理器,点击右侧复制,粘贴到终端回车即可

npx skills add jd-opensource/JoySafeter/skills/skill-security-auditor -y

查看通用安装教程

查看 Skill 原文

兼容工具

Claude Code
Cursor
Cline
Codex
Windsurf
Gemini
OpenCode
Roo Code
AAide
+Augment
GitHub Copilot
OpenClaw
KKiro
Junie
WWarp
Goose
Trae
Kilo Code
OpenHands
Amp
Zencoder
CContinue
AIAider
CodeBuddy
CodeGeeX
Replit Agent

安全审计

92 / 100

已审计

未声明 license/许可。
未限定 allowed-tools，默认拥有全部工具权限。

元信息

来源: github
jd-opensource/JoySafeter
版本: 1.0.0
English

分类与标签

分类安全