by 安全扫描
OpenClaw
可疑
medium confidence该技能声称是敏感内部遥测、远程控制设置和隐藏功能的数据库，但缺乏出处、捆绑数据和安装/依赖规范——这种不匹配以及所声称内容的敏感性需要谨慎。
评估建议
谨慎进行。此技能声称编目遥测端点、远程控制设置、功能标志和未发布工具——这些数据可能是敏感的或可能被滥用。在安装或调用之前：1）向作者询问出处、引用和原始数据集文件（SKILL.md 列出了数据集，但未捆绑）。2）在安全环境中验证引用的 npm 包（@claws-shield/cli、@claws-shield/intel、@claws-shield/core）：检查其源仓库、发布签名和维护者。3）避免在生产机器上运行将获取远程包的 npx 或 node 脚本——使用隔离的沙箱或 VM。4）如果您需要此功能，请选择捆绑数据或使用具有明确出处和访问控制的已记录、可审计的远程 API 的版本。5）如果您无法获得可信的出处和捆绑的数据集，请将此技能视为潜在风险，不要使用真实凭据运行或在关键系统上运行。...详细分析 ▾
⚠ 用途与能力
该技能声称是包含遥测端点、远程控制设置、功能标志和未发布工具的情报数据库。然而，包文件清单中并未包含所声称的 JSON 数据集，且唯一的辅助脚本引入了未声明也未捆绑的 @claws-shield 包。因此，该技能声称可访问潜在敏感数据，但未提供这些数据文件，也未记录如何获取，令人困惑且担忧。
ℹ 指令范围
SKILL.md 指示使用 npx @claws-shield/cli 或 node scripts/query-intel.mjs 查询知识库。指令本身范围狭窄，仅限于搜索知识库，未明确指示读取无关系统文件或外泄机密。然而，允许的工具包括 Bash/Read/Grep（允许文件读取），且内容声称了解遥测端点和远程控制基础设施——如果准确，这些数据可能被滥用。指令给予运行 npx（会执行网络获取）的广泛自由，但未记录底层数据来源。
⚠ 安装机制
尽管 SKILL.md 和脚本引用了 npm CLI（@claws-shield/cli）和模块（@claws-shield/intel、@claws-shield/core），但没有安装规范。这意味着按文档使用该技能将导致代理/用户在运行时通过外部注册表运行 npx 或以其他方式获取包。缺少声明的依赖列表或可信发布主机是不一致的，增加了风险，因为调用期间可能拉取任意代码。
⚠ 凭证需求
该技能不请求环境变量或凭据，表面上是好的。但所声称的内容（遥测端点、远程控制托管设置、秘密模式、终止开关）高度敏感。技能的元数据未提供出处、引用或包含的数据文件；攻击者控制或低质量的数据源可能暴露有害端点。缺少出处和捆绑数据使得难以证明在敏感操作中使用该技能是合理的。
✓ 持久化与权限
该技能不请求 always:true，不声明系统范围配置更改，且可由用户调用。没有明确的持久权限或自动包含。这方面是适当的。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/1
Agent Intelligence 1.0.0 - 首次发布 Agent Intelligence 研究数据库，用于 AI 编码工具。 - 查询内部模型代号、功能标志、未发布功能、版本变更和用户层级差异。 - 由逆向工程、独特研究文档和自动化发布扫描支持。 - 提供 CLI 和编程接口用于情报查找。 - 知识库组织为结构化 JSON 数据集（遥测、标志、代号、功能）。
● Pending
安装命令
点击复制官方npx clawhub@latest install agent-intelligence
镜像加速npx clawhub@latest install agent-intelligence --registry https://cn.longxiaskill.com