夜雨聆风小龙虾🦞OpenClaw 个人实践 · B-08
安全系列第二篇 · 技能风险 · 装之前怎么判断
OpenClaw 技能安全审查指南装之前先做这五件事
写在 ClawHavoc 事件之后 · 信息截至 2026 年 3 月 · 不需要技术背景
2026 年 1 月底，ClawHub 上排名第一的下载技能，是一个"Twitter 相关任务工具"。
安全研究员 1Password 随手查了一下，发现这个技能装完之后，会在你的电脑上悄悄安装 Atomic macOS Stealer——一款专门偷取浏览器密码、SSH 密钥、加密货币钱包和 Telegram 数据的木马。
这不是孤立事件。Koi Security 随后对整个 ClawHub 做了一次全面审计，在 2,857 个技能里，找到了 341 个恶意技能，来自同一个攻击行动，被命名为 ClawHavoc。
Antiy CERT 深入清查后，最终数字升到了 1,184 个恶意技能包，来自 12 个攻击者账号。
技能市场有多危险，这几个数字说完了。
这篇是写给普通用户的：不是叫你不要装技能，而是告诉你怎么在装之前判断一个技能安不安全。
一、为什么技能出问题，比装一个普通软件危险得多
普通软件（比如一个记事本 App）的权限有限，最坏情况是这个软件自己出问题。
OpenClaw 的技能不一样。技能装进去之后，它继承的是整个 OpenClaw Agent 的权限——读写文件、执行命令、访问你的飞书/邮件/日历、使用你存在环境里的 API 密钥……全都是。
换个说法：你给虾崽子的权限有多大，一个恶意技能能拿到的权限就有多大。
ClawHavoc 攻击的具体手法
恶意技能的 SKILL.md 看起来完全正常，有详细的功能说明，有使用示例。
但在"前置条件"一节，会要求你"先安装一个必要的依赖工具"——然后让你复制一段命令粘贴到终端执行，或者下载一个压缩包。
那段命令，或者那个压缩包里，是信息窃取木马。macOS 版本会偷走浏览器密码、钥匙串、SSH 密钥、Telegram 数据、加密货币钱包。
Snyk 做过一次更大规模的扫描，结论更让人不安：在 3,984 个技能里，36% 含有可检测的提示词注入漏洞，13% 有严重安全缺陷。
二、装技能之前，做这五件事
1 先查 VirusTotal 报告
ClawHub 已经和 VirusTotal 建立了合作，每个技能的页面都有安全扫描报告入口。这是第一道也是最快的一道门。
怎么查：在 ClawHub 上打开要安装的技能页面，找"VirusTotal Report"或安全扫描标签，看有没有被标记为风险。
✅ 没有被任何引擎标记 → 可以继续往下看
⚠️ 有 1-2 个引擎标记 → 多做几步验证再决定
❌ 被多个引擎标记 → 不要装
VirusTotal 不是万能的，它查不出所有问题，但能拦住大部分已知恶意技能。
2 看发布者信息和发布时间
ClawHavoc 的攻击者用的是注册一周以上的新账号批量上传恶意技能。一个账号上传了 677 个包。
需要确认的几点：
• 这个发布者还发了多少个技能？ 几十到几百个、风格雷同、发布时间集中——高度可疑
• 账号创建多久了？ 新注册账号 + 立刻大量上传 = 红旗
• GitHub 主页看起来真实吗？ 有历史提交记录、有其他项目、有 follower，可信度相对高
• 这个技能发布时间和 ClawHub 上的审核状态怎样？ 短期内大量新技能涌现的时段风险更高
3 读 SKILL.md，重点看这几个地方
每个技能的核心文件是 SKILL.md，这是 Agent 真正读取并执行的指令文件。不需要读懂每一行，只需要看几个关键位置。
🚩 红旗：看到这些立刻停下
• "前置条件"或"Prerequisites"要求你复制命令到终端执行
• 要求下载来自第三方网站的文件（而不是 npm 或 GitHub 上的公开包）
• 要求"临时关闭杀毒软件"或"忽略系统安全提示"
• 包含读取 ~/.env、~/.openclaw/credentials/ 或其他凭证文件的指令
• 包含把数据发送到外部 URL 的指令（合理的技能只应该访问声明了的服务接口）
✅ 正常技能应该长什么样
• 清晰说明这个技能做什么、需要访问哪些服务
• 如果需要认证，是通过 OpenClaw 的标准授权流程，而不是要你手动粘贴密钥
• 所有网络请求的目标都是清晰声明的官方 API（比如 api.feishu.cn，不是随机域名）
4 看社区反馈和使用人数
这条不是绝对保证，但有效。
• 安装量高 + 评价正常 + 近期仍有更新：基础可信度较高
• 只有几次安装 + 没有任何评价 + 刚上传：无法判断，谨慎
• OpenClaw Discord 或社区有人讨论过这个技能：搜一下，看有没有踩坑记录
注意：ClawHavoc 期间，被下载次数最多的恶意技能之一已经有 14,285 次下载——数量高不等于安全。数量只是参考，不是保证。
5 最小权限原则：只装真正需要的
每装一个技能，就是多打开了一扇门。门越多，风险越分散，出了问题越难定位。
定期回顾已安装的技能：有没有装了之后从没用过的？有没有只用了一两次之后就不用了的？清掉。
# 查看当前安装的所有技能
openclaw skills list
# 卸载不需要的技能
openclaw skills remove <技能名>
不用的技能留着没有好处，卸掉只有好处。
三、如果已经装了，怎么确认安不安全
你可能在 ClawHavoc 事件之前装过一些技能。不需要慌，按下面步骤检查一遍。
步骤一：跑健康检查
openclaw doctor
3.31 版本之后，doctor 会对安装的技能做危险代码扫描。有问题的技能会在报告里出现。
步骤二：逐一核查已安装技能的来源
对每个已安装的技能，去 ClawHub 上找对应页面，看 VirusTotal 报告。如果找不到页面（可能已被下架），这本身就是一个警示信号。
步骤三：如果怀疑已经中招
优先做这几件事（macOS）
① 立刻轮换所有 API 密钥：OpenClaw 的、飞书的、OpenAI 的，全部重新生成
② 检查异常登录项：系统偏好设置 → 通用 → 登录项，看有没有陌生的程序
③ 修改重要账号密码：AMOS 会偷浏览器密码，先从最重要的账号开始改
④ 卸载可疑技能：openclaw plugins uninstall <技能名>
⑤ 如果用了加密货币钱包：立刻转移资产到新地址，不要等
四、ClawHavoc 之后，ClawHub 现在还安全吗
说实话，不能说完全安全——但情况已经明显好转，而且有了明确的改进机制。
• 恶意技能已大量清除：ClawHavoc 之后平台清理了大量问题技能，注册表从 2,857 个先降到 3,498 个，再重新增长到 13,700+
• VirusTotal 扫描已上线：所有技能都有安全扫描报告，这是用户可以直接查的
• 举报机制存在：任何用户都可以举报可疑技能，累计 3 次举报会自动隐藏
• 3.31 版本加强了安装时的扫描：危险代码默认拒绝安装
但有一个结构性问题没有解决：ClawHub 的发布门槛依然很低，注册一个 GitHub 账号、等一周，就可以上传技能。平台没有人工审核每一个技能。
这意味着：平台的防线是事后的，你的防线才是第一道。上面那五件事，不是"有了平台保护就不用做了"，而是"有了平台保护还是要做"。
五步审查清单（打印下来贴墙上也行）
□ Step 1：ClawHub 技能页面查 VirusTotal 报告，无标记再往下
□ Step 2：看发布者账号，排查新号 + 批量上传的组合
□ Step 3：读 SKILL.md，警惕"先执行这段命令"或"下载这个文件"的说法
□ Step 4：搜社区反馈，看有没有人踩过坑
□ Step 5：不确定就不装，装了不用就卸，最少化安装数量
技能市场就像 App Store 开放之前的 Android——
什么都能装，什么都要自己判断。
不是叫你不用，是叫你用得明白。
💬 你现在装了多少个技能？有没有想卸掉但一直没卸的？评论区说说，顺手盘一下自己的技能列表。
夜猫子弦月 | 白天写代码，晚上写文章，偶尔弹古琴MeowClaw Lab 出品
