by 安全扫描
OpenClaw
可疑
medium confidence技能功能与描述一致，但嵌入 API 密钥并将完整音频发送到未声明的第三方端点，引发隐私和数据外泄担忧。
评估建议
该技能实现了宣称的音频提取和转录功能，但包含硬编码 API 密钥并发送完整 Base64 编码音频到未记录的第三方端点 (dashscope.aliyuncs.com)。安装或运行前：（1）不要在私密/机密音频上运行；（2）要求作者移除嵌入 API 密钥，要求用户通过环境变量或安全配置提供自己的密钥；（3）验证端点和 ASR 提供商的身份和可信度；（4）优先选择文档化环境变量和暴露网络目的地的版本，或者修改脚本指向可信的 API 主机或自己的账户。如果无法验证端点或嵌入密钥的来源，视为高风险，避免使用敏感数据。...详细分析 ▾
ℹ 用途与能力
代码实现了名称/描述的宣称：使用 ffmpeg 提取/压缩音频，并通过 OpenAI Python 客户端调用 qwen3-asr-flash ASR 模型。SKILL.md 中声明的依赖项（ffmpeg、openai SDK）与实现相符。但是，技能没有在注册元数据中声明任何必需的环境变量或主凭证，然而脚本包含一个硬编码的 API 密钥和自定义 base_url —— 之间存在不一致：技能声称需要什么与它实际包含什么。
⚠ 指令范围
运行时指令和脚本将整个音频文件转换为 Base64 数据 URI 并发送到远程模型端点。SKILL.md 引用 '百炼 API KEY' 但未披露代码使用的实际网络端点（代码目标为 dashscope.aliyuncs.com）。将完整音频数据发送到未声明的第三方端点，存在隐私和数据外泄风险。指令还建议运行确切的包含脚本路径，这将默认使用嵌入的密钥。
✓ 安装机制
没有安装规格（仅指令，单个 Python 脚本）。这降低了供应链风险，因为安装期间不会自动下载或提取任何内容。
⚠ 凭证需求
技能需要 API 凭证来调用 ASR 模型，但不是声明一个必需的环境变量或要求用户提供密钥，脚本硬编码了 API 密钥字符串和非标准 base_url。注册元数据未声明任何必需凭证；在代码中嵌入密钥是不成比例的且不安全的。代码中的端点 (dashscope.aliyuncs.com) 不是公共 qwen/openai 域，也未在 SKILL.md 中解释。
✓ 持久化与权限
技能不是始终启用，不请求提升的平台权限或修改其他技能/配置。它仅在调用时运行，不会保留超出在输入同目录写入自己的总结输出文件的配置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/8
（1）音频总结技能初版发布；（2）使用 ffmpeg 从视频文件提取 16k 单声道音频；（3）使用 Qwen3 ASR Flash 模型转录音频为文本并生成内容总结；（4）支持压缩后约 5-8 分钟的视频；（5）总结保存为 .txt 文件在源视频同目录；（6）依赖 ffmpeg、OpenAI Python SDK 和配置的百炼 API 密钥。
● 可疑
安装命令 点击复制
官方npx clawhub@latest install audio-summary
镜像加速npx clawhub@latest install audio-summary --registry https://cn.clawhub-mirror.com
技能文档
音频/视频转文本总结助手。
功能
- 自动音频提取：使用
ffmpeg从 MP4 等视频文件中提取 16k 单声道压缩音频，以适配大模型体积限制。 - 转录转总结：基于百炼
qwen3-asr-flash模型，自动将音频转换为文字并生成内容分段总结。 - 大文件支持：通过 48k 压缩，支持最长约 5-8 分钟的视频单次直接转录。
依赖
ffmpeg(已安装在系统路径)openaiPython SDK (已安装)- 百炼 API KEY (已在脚本中配置为
sk-76735...)
使用方法
从命令行运行
# 对指定视频进行提取和总结
python .openclaw/workspace/skills/audio-summary/audio_summary_skill.py "C:\Path\To\Your\Video.mp4"
文件位置
- 提取出的总结文本将自动保存在视频同级目录下，并命名为
视频名_summary.txt。
注意事项
- 目前单次 Base64 转录限制为 6MB，对于超过 10 分钟的长视频，建议先手动切分或进一步降低码率。
- API 费用按
qwen3-asr-flash模型计费。
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制