📦 Ai — AI
v1.0.1Company Translator Zh 1.0.1 AI 公司执行层翻译代理 —— 中文（ZH）。将 SKILL.md 及文档文件翻译为专业简体中文。归属 CMO；...
0· 11·0 当前·0 累计
by 下载技能包
最后更新
2026/4/22
安全扫描
OpenClaw
可疑
medium confidence该技能的声明目的（将 SKILL.md 和文档翻译成简体中文）与其描述基本一致，但部分权限和设计选择（可读取任意工作区文件、声明的依赖范围过广、以及 MCP 会话权限）过于宽泛，安装前需谨慎。
评估建议
此技能似乎是一个翻译助手，基本能满足该用途，但在安装或运行前请注意以下事项：
1. 不要将其指向敏感或未知文件——先在非敏感示例上测试。
2. 确认运行时实施了 SKILL.md 中描述的路径遍历和文件大小检查；请向平台管理员索要证明。
3. 与安全团队一起审查声明的依赖项和 MCP 权限——其生成会话的能力可能间接调用具有网络或凭据访问权限的其他技能。
4. 若必须在真实内容上运行，请在启用了审计日志的隔离工作区中运行，并要求人工审查输出（该技能已提到质量门）。如需更高保障，请要求所有者说明每个依赖项和 MCP 权限的必要性，或提供一个仅读取显式源文件并写入单个输出文件的最小化版本。...详细分析 ▾
ℹ 用途与能力
该技能的名称、描述及声明的文件读写权限与翻译代理相符，但其声明的依赖列表包含大量内部“ai-company-*”技能（审计、注册、总部、安全、质量），超出简单翻译所需，可能扩大其实际权限。接口要求源文件使用绝对路径，对翻译场景合理，但若被滥用则风险增加。
⚠ 指令范围
SKILL.md 要求读取指定源文件并保留 frontmatter，附带合理防护（大小限制、路径穿越检测、审计日志）。但 agent 仍被明确授权读取工作区文件：提供的绝对路径可能指向包含 PII 或密钥的文件。技能文本声称“不会访问 PII 或凭据”，但仅靠指令清单或平台强制策略无法保证输入文件不含敏感数据。路径校验与大小检查的正确性取决于 agent 运行时的执行（SKILL.md 本身无法强制）。
✓ 安装机制
无安装规范、无代码文件（仅指令）——安装面风险最低。安装器不会下载或写入任何内容。
✓ 凭证需求
该技能无需环境变量、凭据或配置文件路径，这对于一个文件到文件的翻译器来说是合理的。然而，缺少必需的凭据并不会阻止它在被提供敏感文件作为输入时读取这些文件。
⚠ 持久化与权限
always:false（良好）。但该 skill 声明了 mcp 权限（sessions_send、sessions_spawn）以及宽泛的依赖列表——这使其能够调用或生成其他可能具备网络访问或其他特权的 skills/sessions，从而将实际影响范围扩大到超出简单翻译器。清单声称无网络访问，但生成其他 skills 可能成为网络操作或横向能力升级的间接途径，前提是那些 skills 拥有更广泛的权限。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/22
P2 安全修复：添加 os.normpath() 路径规范化；RU/FR 补充缺失的 validate_path 函数；将 CISO conditional-pass 升级为 pass
● 无害
安装命令
点击复制官方npx clawhub@latest install ai-company-translator-zh-1-0-1
镜像加速npx clawhub@latest install ai-company-translator-zh-1-0-1 --registry https://cn.longxiaskill.com