📦 OneScience Skills自动识别并编排
v1.0.1OneScience 相关技能调用，支持代码生成、数据处理、模型训练与推理及研究项目管理。
0· 7·0 当前·0 累计
by 下载技能包
最后更新
2026/4/22
安全扫描
OpenClaw
可疑
high confidence该技能包的运行时指令要求智能体读取本地 SSH 配置文件并发起/协调远程任务提交（SSH/SCNet/SLURM），而包声明无需任何凭据或配置路径——这一不匹配以及宽泛的远程执行指引前后矛盾且存在风险。
评估建议
此技能的文档指示 agent 读取本地 ~/.ssh/config、建立 SSH 连接，并将完整本地文件列表上传至外部 SCNet/cluster 服务——但技能元数据未声明任何凭据或配置路径。安装或启用前请注意：
- 除非信任发布者及远程端点（gitee 仓库与“scnet MCP”），否则视为高风险。
- 若无法或不愿验证目标远程主机与账户，切勿让 agent 运行此安装流程。读取 ~/.ssh/config 并建立 SSH 连接可能泄露主机名并带来横向访问风险。
- 向维护者询问 scnet MCP 托管位置、所用认证方式，以及上传是否发往可信域名；验证 gitee 仓库 URL 及其维护者身份。
- 如必须使用，请在受限/沙箱环境运行（无真实 ~/.ssh/config 或私钥访问权限），或临时移除敏感 SSH 密钥/配置条目；优先在集群手动执行安装步骤以控制凭据。
- 确认 .trae/skills/onescience.json 与 tpl.slurm 的位置并审阅其内容，再执行任何自动替换/提交；这些文件含可能泄露数据的运行时变量与路径。
如需，...详细分析 ▾
⚠ 用途与能力
技能描述称其管理 OneScience 工作流（代码生成、数据管道、训练、SLURM 提交）。但安装器与调试文档需读取用户本地 ~/.ssh/config 并建立 SSH 连接，调试/运行文档还要求将完整本地文件路径上传至外部“scnet MCP”并读取 .trae/skills/onescience.json。元数据却声明无需任何环境变量或配置路径——这与必须访问本地 SSH 配置、SLURM 凭据及运行时配置文件的明确需求相矛盾。
⚠ 指令范围
SKILL.md 文件指示 agent：(a) 本地运行 `cat ~/.ssh/config` 发现远程 DCU 主机，(b) 建立 SSH 连接并在远端执行所有安装命令，(c) 读取 .trae/skills/onescience.json 与 tpl.slurm 生成并提交作业，(d) 准备带完整路径的上传列表并向 ‘scnet MCP’ 服务提交任务。这些宽泛操作会访问本地敏感文件并进行不限于声明目的的网络/远程操作。指令还强制使用精确命令与文件上传（含 Windows 风格绝对路径），并在某些流程中禁止本地执行——赋予 agent 广泛权限以访问并传输用户本地文件及元数据。
✓ 安装机制
没有安装规范（仅指令型技能），因此技能包本身不会下载或写入任何代码。这降低了一些风险，但运行时指令仍会引导代理执行潜在敏感操作（SSH、从 gitee 进行 git clone、向 scnet MCP 提交）。
⚠ 凭证需求
声明的需求列表中未提及任何环境变量、凭据或配置路径，但安装与运行文档却要求读取 ~/.ssh/config、使用 SSH 密钥/代理、激活 conda 环境以及设置 ONESCIENCE_DATASETS_DIR / ONESCIENCE_MODELS_DIR 等环境变量，并向 SCNet 提交作业。因此，该 skill 实际期望访问密钥和配置（SSH 密钥、集群账户、可能的挂载点），却未在需求中声明——存在比例性与透明度不匹配。
ℹ 持久化与权限
该技能并非始终启用，也未声明提升的平台权限，但其内容鼓励持久/远程操作（连接远程 DCU 节点、克隆仓库、向 SCNet 提交作业），并指示读取本地配置文件。结合其他问题，这增加了运营风险：恶意或配置错误的代理可能外泄文件或在远程执行命令。该技能未请求修改 bundle 中的其他技能或系统级配置，但确实指示代理在远程系统上修改/执行内容。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/22
- 优化描述，突出自动转化用户需求、自动编排及热点模型/数据集内容支持 - 明确 OneScience 技能管理器在 AI4S 研发需求识别与定位中的作用 - 细化“核心职责”描述，更强调任务转化与编排流程 - 其余内容（任务类型与调用顺序、最佳实践、示例等）保持不变 - 纯说明性文档优化，不影响实际功能调用顺序
● Pending
安装命令
点击复制官方npx clawhub@latest install onescience-skills
镜像加速npx clawhub@latest install onescience-skills --registry https://cn.longxiaskill.com