by 安全扫描
OpenClaw
可疑
medium confidence该技能基本实现了其宣称的功能（使用 NEMO_TOKEN 连接 nemovideo.ai 并调用远程渲染 API），但 SKILL.md 与注册元数据在文件/配置访问权限上存在矛盾，且运行时指令要求代理读取安装路径和配置目录——在安装并上传内容前，相关行为值得审查。
评估建议
此技能似乎实现了一个合法的文本→视频服务，仅需 NEMO_TOKEN（或可从 nemovideo.ai 获取匿名 token）。安装或使用前请注意：
- 你的提示及上传的图片/音频将被发送至 mega-api-prod.nemovideo.ai —— 请勿上传不愿被外部服务处理的敏感或私密内容。
- 请确认你信任服务/域名 nemovideo.ai；该包无主页或已知所有者元数据。
- SKILL.md 要求 agent 检查你的主目录安装路径（~/.clawhub、~/.cursor/skills/）及配置目录（~/.config/nemovideo/）。这意味着 agent 可能读取这些位置以设置请求头或存储会话数据；如介意，请在沙箱环境或受限账户中运行。
- 存在元数据不一致：registry 元数据未列出配置路径，而 SKILL.md frontmatter 列出。请向发布者询问为何需要 ~/.config/nemovideo/ 及将读写哪些文件。
- 若环境中已有 NEMO_TOKEN，建议提供限定范围/临时 token，而非长期凭证。如不希望技能自动获取 token，请禁用...详细分析 ▾
✓ 用途与能力
名称/描述（文本→AI 视频生成）与 SKILL.md 中的端点和流程保持一致：session creation、SSE chat、upload、export。所请求的凭据（NEMO_TOKEN）与 API 主机（mega-api-prod.nemovideo.ai）均与所述用途一致。
ℹ 指令范围
说明主要限定在视频生成工作流（会话创建、SSE、上传/导出）。值得注意的行为：(1) SKILL.md 需读取自身 YAML frontmatter 中的 X-Skill-* 头（合理）；(2) 要求通过检查用户主目录路径（~/.clawhub、~/.cursor/skills/）来检测安装路径/平台，意味着需进行文件系统探测，而非纯网络集成；(3) 其 frontmatter 引用了配置路径 ~/.config/nemovideo/。这些文件/路径读取应属预期，但因涉及用户主目录，需明确征得同意。
✓ 安装机制
仅含指令、无安装规范且无代码文件——安装风险最低。包元数据中不会通过安装程序下载或写入任何内容。
ℹ 凭证需求
唯一声明的凭据是 NEMO_TOKEN（primaryEnv）。SKILL.md 也描述了在缺少 NEMO_TOKEN 时通过服务创建匿名令牌，这是合理的。小不一致：registry 元数据早前列出无必需配置路径，但 SKILL.md 的 frontmatter 声明了 ~/.config/nemovideo/——这一差异应予以澄清。未请求无关的云凭据或广泛密钥。
✓ 持久化与权限
始终为 false，且该 skill 不会申请永久性的平台级权限。它会为操作创建/保留一个 session_id（在此用例中属正常行为），但不会声称修改其他 skill，也不会超出典型会话数据的范围而持续存在。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/19
Free Video Generator Bot 首发版——用文本或图片生成 1080p AI 视频。 - 通过文本提示或上传图片生成短视频；云端 AI 视频合成，无需编辑时间轴。 - 自动初始化：获取匿名 token（100 免费积分，7 天过期），管理会话与云端 GPU 管线。 - 简单提示操作：输入需求，例如“根据我的提示生成 30 秒带背景音乐的短视频”。 - 支持上传、积分查询、导出、查看项目状态；实时响应。 - 处理错误状态（token、文件限制、积分、导出限制）并给出清晰提示。 - 导出标准格式视频（MP4、MOV 等），便于社交分享。
● 无害
安装命令
点击复制官方npx clawhub@latest install free-video-generator-bot
镜像加速npx clawhub@latest install free-video-generator-bot --registry https://cn.longxiaskill.com