核心用法
SkillScanner 是 Gen Digital 提供的 ClawHub 技能安全扫描工具，用户需提供技能的完整 URL（格式：https://clawhub.ai/author/skill-name），系统通过 POST 请求调用 https://ai.gendigital.com/api/scan/lookup API 获取安全评估结果。
响应解析逻辑：
status: "done"→ 查看severity字段判断安全等级status: "analysis_pending"→ 技能待人工审核，不可视为安全
决策标准：
| severity | 建议操作 |
|---------|---------|
| SAFE | 可放心使用 |
| WARNING / DANGEROUS / MALICIOUS | 建议谨慎，不推荐安装 |
显著优点
1. 权威背书：由 Gen Digital（Norton/Lifelock 母公司）运营，具备企业级安全研究能力
2. 实时检测：直接调用后端扫描 API，非静态数据库查询
3. 风险量化：将复杂的安全分析简化为明确的 severity 等级，降低用户决策门槛
4. 覆盖关键威胁：针对技能特有的风险向量——代码执行、文件系统访问、环境变量读取、数据外泄、供应链攻击
潜在缺点与局限性
1. 滞后性：analysis_pending 状态表示需人工复核，新型或混淆威胁可能存在检测空白期
2. 黑盒评估：未公开具体检测规则，用户无法判断是静态分析还是动态沙箱检测
3. 单一依赖：仅覆盖 ClawHub 生态，无法评估技能运行时实际行为与声明是否一致
4. 无修复建议：仅返回安全等级，不提供具体漏洞详情或修复指导
适合人群
- 频繁使用 ClawHub 技能库的技术用户与 AI Agent 开发者
- 企业 IT/安全团队评估第三方技能准入
- 对供应链安全有基础认知的进阶用户
常规风险
| 风险场景 | 说明 |
|---------|------|
| 误判风险 | 新型攻击手法可能绕过检测，返回 SAFE 但实际有害 |
| 延迟风险 | 热门新技能可能长期处于 `analysis_pending`，用户因等待焦虑而跳过检查 |
| 过度信任 | 用户可能将 API 结果视为绝对保证，忽视最小权限原则 |
建议配合措施：沙箱运行、最小权限原则、定期复核已安装技能。