by 安全扫描
OpenClaw
可疑
medium confidence该技能与其声明的目的（封装 GitHub Copilot CLI）一致，但其运行指令鼓励广泛的本地和网络访问，创建了真实的数据暴露风险，用户应在启用前评估。
评估建议
该技能与其声明的目的（封装 GitHub Copilot CLI）一致，但它指示您使用可以访问和传输本地文件和会话数据的标志和模式。安装/使用前：1) 仅从官方源安装 copilot 二进制文件（npm/@github 或 Homebrew）。2) 除非您理解并接受 Copilot 可能访问本地文件、URL 和系统工具，否则避免使用 --allow-all / --yolo。3) 小心 AGENTS.md 自动加载和会话输出（session.md, ~/.copilot/logs）——这些可能包含工作空间内容；审查它们并安全存储。4) 考虑在沙盒/容器或删除敏感数据的工作空间副本中运行 Copilot。5) 如果启用自主代理调用，限制此技能的调用时机和方式（或要求明确用户确认），因为自主调用 + 广泛标志会增加暴露风险。如果您愿意，我可以建议更安全的调用标志和一个最小测试工作流，以在受控环境中验证行为。...详细分析 ▾
✓ 用途与能力
Name/description match the instructions: the SKILL.md only documents invoking the GitHub Copilot CLI, installing via npm/brew, and authenticating via GitHub. There are no unrelated required env vars, binaries, or config paths declared.
⚠ 指令范围
The instructions explicitly recommend flags and modes that grant the Copilot process broad access (e.g., --allow-all / --yolo), run it interactively via PTY and use process send-keys, and reference auto-loading of AGENTS.md and logs at ~/.copilot/logs. Those steps can cause the CLI to read local files, session state, or upload workspace content to external services — behavior beyond merely generating text and therefore a potential data-exfiltration/privacy risk.
✓ 安装机制
No install spec baked into the skill (instruction-only). The README-style instructions point to npm or Homebrew official installs for @github/copilot, which are standard installation routes and not itself suspicious.
ℹ 凭证需求
The skill declares no required env vars or credentials, which is proportionate. However, runtime use requires a GitHub login/Copilot subscription (interactive OAuth/token storage), and the recommended flags may cause local files or credentials to be accessed or transmitted by the Copilot service. The SKILL.md does not request unrelated credentials, but it implicitly relies on GitHub auth and local stored tokens.
ℹ 持久化与权限
always:false and no requests to modify other skills — that's appropriate. But allow-list flags and interactive automation combined with the platform-default ability for agents to invoke skills autonomously increase potential blast radius if the agent is permitted to call this skill without human oversight.
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/4
v1.0：集成 Copilot CLI 用于代码生成、自动化、NFT 脚本。Escape 增强！
● 可疑
安装命令 点击复制
官方npx clawhub@latest install openclaw-copilot-cli
镜像加速npx clawhub@latest install openclaw-copilot-cli --registry https://cn.clawhub-mirror.com
技能文档
描述
通过 exec 执行 GitHub Copilot CLI，用于代码生成、文件编辑、shell 任务，支持高级模型（Claude/GPT-5）。需要 Copilot 驱动的编码/自动化时使用。安装
``npm install -g @github/copilot或在 macOS 上：
brew install copilot-cli验证：
copilot --help## 认证
- 运行
copilot（交互模式）。
输入 /login 并按照提示（使用 GitHub 账户，需要 Copilot 订阅）。非交互式用法后认证。
使用
非交互式（一次性提示）
copilot -p "您的提示这里" --allow-all --silent- --allow-all：启用所有工具/路径/URL（使用 --yolo 作为简写）。
--silent：仅输出代理响应。
通过 --model claude-sonnet-4.6 或 gpt-5.2 等选择模型。
在 OpenClaw exec 中：
exec: command: copilot -p '生成一个 Python 脚本...' --allow-all --silent### 交互式
exec: command: copilot pty: true然后使用 process 工具：
send-keys：发送输入，如 ['提示文本', 'Enter']
log：查看输出
示例
Shell 任务
copilot -p '列出所有 .js 文件并总结' --allow-all### 代码生成
copilot -p '创建一个简单的 Express 服务器（Node.js）' --allow-all --silent### 文件编辑
copilot -p '为 main.js 添加错误处理' --allow-all### 高级模型
copilot -p '...' --model gpt-5.3-codex --allow-all## 测试
测试生成 hello_world.sh：
bash
#!/bin/bash
echo "Hello, World!"
`
Solana NFT 铸造测试启动成功（复杂任务运行）。
提示
- 自动加载来自 AGENTS.md 的自定义指令。
- 如果需要，使用
--no-custom-instructions。
对于脚本： --share 输出 session.md
日志： ~/.copilot/logs/`数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制