大家好，我是微笑哥。

　　在上一篇文章中，給大家講了三個(gè)安全事故。

　　其中最重要的一塊，就是Skill投毒，除了官網(wǎng)默認(rèn)的 Skills，其他三方的 Skills 都有可能存在風(fēng)險(xiǎn)。

　　稍微解釋一下，什么是 Skills 投毒

　　就是有人把帶有惡意指令或后門邏輯的 Skill 插件混進(jìn) OpenClaw 的技能庫里，一旦被安裝或調(diào)用，AI Agent 在執(zhí)行任務(wù)時(shí)就可能被誘導(dǎo)泄露數(shù)據(jù)、執(zhí)行異常操作甚至被遠(yuǎn)程控制。

　　有什么預(yù)防 OpenClaw Skills 投毒 的 Skill 嗎？

　　你還別說，還真有。

　　這個(gè) Skill 叫做 Skill Vetter。

　　那什么又是Skill Vetter 呢？一句話解釋：

　　Skill Vetter 是一個(gè)在安裝任何 OpenClaw Skill 之前，對代碼來源、權(quán)限和惡意行為進(jìn)行安全審查并生成風(fēng)險(xiǎn)報(bào)告的安全工具。

　　再簡單一點(diǎn)理解：

　　它會(huì)在你安裝 Skill 之前幫你檢查幾件事：

　　1??來源是否可信
檢查作者、倉庫、下載量、更新時(shí)間等。

　　2??代碼是否有惡意行為
例如：

　　訪問~/.ssh、~/.aws等敏感文件

　　向外部服務(wù)器發(fā)送數(shù)據(jù)

　　Base64 混淆代碼

　　eval()/exec()動(dòng)態(tài)執(zhí)行代碼

　　這些都會(huì)被標(biāo)記為紅旗。

　　3??權(quán)限范圍是否異常
它會(huì)分析這個(gè) Skill 是否申請了：

　　文件系統(tǒng)訪問

　　網(wǎng)絡(luò)請求

　　shell 命令執(zhí)行

　　然后給出LOW / MEDIUM / HIGH / EXTREME 風(fēng)險(xiǎn)評級。

　　4??生成安全審查報(bào)告
最后輸出一個(gè)結(jié)構(gòu)化報(bào)告，告訴你：

　　是否建議安裝

　　哪些地方有風(fēng)險(xiǎn)

　　很多人把Skill Vetter當(dāng)成第一道防線。

　　那怎么安裝呢？

　　在 OpenClaw 終端里運(yùn)行：

　　clawhubinstall skill-vetter
安裝成功怎么驗(yàn)證，終端運(yùn)行：

　　skill-vetter

　　如果看到“skill-vetter”說明已經(jīng)安裝成功。