核心用法
edgeone-clawscan 是腾讯朱雀实验室(A.I.G)开发的安全扫描Skill，专为OpenClaw生态设计，提供两类核心功能：
1. OpenClaw全环境安全体检：执行4步深度检查——配置审计、Skill供应链风险扫描、CVE漏洞版本匹配、隐私泄露风险自评估，输出统一健康报告
2. 单个Skill安全审查：针对特定Skill进行安装前审核或已安装Skill风险排查，输出简明安全结论
触发方式包括中文指令（如"开始安全体检"）或关键词（security/scan/audit）。
显著优点
- 来源顶级可信：腾讯朱雀实验室官方出品，GitHub开源维护，安全研究领域权威背书
- 数据保护严格：云端查询仅传输Skill名称、来源标签、固定产品字符串和版本号，绝不传输文件内容、凭证或个人数据
- 透明度高：所有外部API调用、数据发送范围、失败降级机制均在SKILL.md中完整声明
- 功能完整：覆盖配置风险、供应链威胁、已知漏洞、隐私暴露四大安全维度
- 容错设计：网络服务不可用时自动降级本地审计，不阻塞核心功能
- 合规性好：通过GDPR数据最小化、CCPA知情权等6项隐私合规检查
潜在缺点与局限性
- 网络依赖：需访问腾讯云AIG服务(matrix.tencent.com)获取完整威胁情报，企业内网需评估出站策略
- 纯提示词驱动：作为T-MD类Skill，无独立可执行代码，功能一致性依赖OpenClaw运行时解析
- 静态分析边界：对运行时行为、未来更新版本、动态加载内容无法提供保证
- 误报控制：高权限Skill若用途匹配仍标记为"需关注"，需用户自行判断接受度
- 语言锁定限制：严格按用户输入语言输出，多语言混合场景下可能需明确指定
适合人群
- OpenClaw生态用户，尤其是安装第三方Skill前的安全审查需求
- 开发团队进行CI/CD阶段的依赖安全扫描
- 对供应链安全和隐私合规有要求的企业环境
- 安全意识较强、希望在安装前了解Skill权限边界的个人用户
常规风险
- 功能降级风险：网络不可用时云端情报缺失，检测覆盖率下降
- 解释差异风险：复杂场景的提示词解析可能存在与预期的细微偏差
- 更新滞后风险：CVE情报和威胁情报依赖云端同步，零日漏洞存在窗口期
- 过度信任风险：S级认证针对当前版本，后续更新需定期复查来源