secucheck：OpenClaw 自托管网关安全审计
核心定位
secucheck 是专为 OpenClaw 生态设计的只读安全审计工具，通过系统化的 7 维度扫描，帮助用户识别配置缺陷、权限风险和网络暴露问题。其最大特点是零侵入性——仅检测、从不自动修改配置，所有修复建议均需用户显式确认。
核心用法
- 触发方式：自然语言指令（"security audit"、"secucheck"）或自动触发（安装技能、创建/修改 Agent、调整定时任务时）
- 三级解读：Beginner（类比解释）、Intermediate（技术细节+配置示例）、Expert（攻击向量+CVE 参考）
- 跨平台支持：原生支持 Linux、macOS、WSL，Windows 环境提供 PowerShell 降级方案
- 可视化交付：自动生成 HTML 安全仪表板，含风险评分与修复优先级
显著优点
1. 上下文感知：根据 VPN/Tailscale 访问、单用户自托管、容器化等场景动态调整风险评级
2. 运行时检测：不仅分析静态配置，还检查网络监听状态、容器特权、进程权限等实时信息
3. 本地化输出：最终报告自动匹配用户语言，降低理解门槛
4. 场景化攻击模板：内置 Prompt Injection、Session Leak、权限提升等 5 类攻击情景分析
5. 智能降级机制：当环境缺少 curl/ip/ss 等工具时，自动切换至 wget/ifconfig/netstat 等替代方案
局限性与风险
- Windows 原生支持有限：依赖 PowerShell 回退，部分检测项（如网关绑定状态）可能缺失
- Docker/DSM 等极简环境：工具链缺失严重时，仅能执行基础检查
- 非实时防护：审计为快照模式，无法阻断正在发生的攻击，需配合日志监控使用
- 专家级依赖：Attack Vector 分析需要用户具备安全背景才能有效落地
适合人群
| 场景 | 推荐度 |
|------|--------|
| 自托管 OpenClaw 的个人开发者 | ⭐⭐⭐⭐⭐ |
| 团队内部部署的 DevOps 工程师 | ⭐⭐⭐⭐⭐ |
| 多租户/多用户环境的系统管理员 | ⭐⭐⭐⭐ |
| 追求"开箱即安"的无技术背景用户 | ⭐⭐⭐ |
常规风险
- 误报风险：单用户+VPN 环境下，部分"网络暴露"警告实际影响有限，需人工判断
- 修复副作用：按建议禁用 exec 工具或调整 DM 策略时，可能中断现有自动化工作流
- 报告延迟：完整审计+仪表板生成在大型环境中可能耗时数十秒
可信度评估
技能由 OpenClaw 官方维护，审计脚本完全本地执行（~/.openclaw/skills/secucheck/scripts/），无外部数据上报，符合 T1 级安全工具标准。