by 安全扫描
OpenClaw
可疑
medium confidence该技能看似封装了一个 CLI（用于图像超分辨率任务似乎合理），但 SKILL.md 却指示代理安装/运行第三方 npm CLI，并要求用户发送并持久化其 API key——这一不一致及密钥处理模式令人担忧。
评估建议
该技能可能调用第三方 CLI（npm @dlazy/cli）进行放大，这可以接受，但存在风险：manifest 与 SKILL.md 对安装要求的描述不一致，且指令要求代理让你“发送”API 密钥并保存。切勿在聊天中粘贴 API 密钥。若需使用：(1) 在 npm registry 验证 @dlazy/cli 包并检查源码后再安装；(2) 优先本地自行安装运行 CLI，而非把密钥交给代理；(3) 如必须，在本机执行 `dlazy auth set <key>` 设置密钥，而非在对话中分享；(4) 考虑是否信任在运行代理的系统上全局安装 npm 包。因描述不一致且涉及收集密钥，务必先确认包来源并避免直接向代理发送密钥。...详细分析 ▾
ℹ 用途与能力
所述功能（图像超分辨率）与使用“dlazy superres” CLI 相符，但注册表元数据显示无安装或所需二进制文件，而 SKILL.md 元数据却明确要求 npm/npx 并执行“npm install -g @dlazy/cli@1.0.5”——此不一致未获解释。
⚠ 指令范围
运行指令要求智能体执行 dlazy CLI，并强制规定：必须向用户索要 API key，让用户“发给你”，然后运行 `dlazy auth set <key>` 保存。让智能体主动索取并持久化密钥属于范围蔓延，会增加意外泄露或滥用的风险。
ℹ 安装机制
注册表中没有正式的安装规范，但 SKILL.md 元数据要求全局 npm 安装 @dlazy/cli@1.0.5。全局安装未经审核的 npm 包属于中等风险（会写入磁盘、执行第三方代码）。安装指令仅出现在 SKILL.md 而非注册表的 install 字段中，存在不一致。
⚠ 凭证需求
注册表未列出任何必需凭据或配置路径，但 SKILL.md 的错误处理与代理指令却假定存在 API key，并明确要求代理收集并持久化它。所需密钥未预先声明，代理被指示向用户索取——对一个简单的图像放大技能而言，这种行为过于复杂且存在风险。
⚠ 持久化与权限
该技能指示智能体使用“dlazy auth set <key>”保存凭据，意味着将用户 API 密钥持久化存储在智能体/系统中。尽管技能未标记为“always:true”，这种显式凭据持久化会在智能体或环境后续遭入侵，或智能体误处理机密时，扩大影响范围。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/22
dlazy-superres 1.0.0 — 首次发布 - 推出图像超分辨率工具，提升清晰度并修复低分辨率素材。 - 提供 CLI 使用说明，支持图片 URL、本地路径及高级选项。 - 定义 JSON 输出格式，返回增强后的图片 URL。 - 完善的错误处理与用户指引，涵盖认证与额度问题。 - 可通过 npm 安装；更多信息见 https://dlazy.com。
● 无害
安装命令
点击复制官方npx clawhub@latest install dlazy-superres
镜像加速npx clawhub@latest install dlazy-superres --registry https://cn.longxiaskill.com