核心用法
edgeone-clawscan 是腾讯朱雀实验室A.I.G（AI-Infra-Guard）开发的企业级OpenClaw安全扫描工具，提供两类核心功能：
- Feature 1: OpenClaw安全体检 —— 对当前OpenClaw环境执行4步综合审计：配置审计（
openclaw security audit --deep）、Skill供应链风险检测、CVE漏洞匹配、隐私泄露风险自评估 - Feature 2: 单个Skill安全扫描 —— 针对特定Skill进行预安装审查或已安装Skill审计
触发条件明确限定：仅当用户主动请求安全扫描/体检/审计时触发，不涉及常规开发、调试、依赖安装等场景。
显著优点
| 维度 | 亮点 |
|------|------|
| **来源权威性** | 腾讯朱雀实验室（Zhuque Lab）官方出品，GitHub组织ID 18461506，T1级可信来源 |
| **行为透明** | SKILL.md完整声明所有网络行为：2个HTTPS端点、发送数据范围（skill_name/source/version）、明确不传输的内容（文件内容/凭证/个人数据） |
| **数据最小化** | 云端查询仅传输技能元数据，本地审计不读取用户敏感内容，符合GDPR/CCPA原则 |
| **优雅降级** | 网络请求失败时自动回退本地审计，不阻塞扫描流程 |
| **无依赖风险** | 纯Markdown Skill，无第三方依赖包，零供应链攻击面 |
| **隐私合规** | 明确禁止读取相册、Documents、聊天记录等敏感数据，仅通过权限元数据评估风险 |
潜在缺点/局限性
- 云端依赖：CVE匹配和威胁情报依赖matrix.tencent.com API，离线环境功能降级
- 静态分析边界：Skill审计基于静态代码分析，无法检测运行时动态行为或条件触发逻辑
- 版本覆盖：CVE库匹配取决于云端数据库更新时效，零日漏洞可能滞后
- 生产环境审慎：
--deep模式含Gateway探针，生产环境需预先评估暴露面
适合人群
- OpenClaw环境管理员/安全运维人员
- 企业合规审计团队
- 对Skill来源存疑、需预安装审查的开发者
- 需定期安全基线检查的组织
常规风险
| 场景 | 说明 |
|------|------|
| **生产Gateway探针** | `--deep`模式向本地配置Gateway发起探针，生产环境需确认访问控制 |
| **网络不可达降级** | 离线/防火墙环境丢失云端威胁情报，依赖纯本地规则 |
| **扫描范围认知** | 本工具不扫描用户业务代码，仅聚焦OpenClaw自身及Skill安全 |
认证结论
CLS-Certify v2.1.0全维度检测：S+级（95分），零Medium+发现，通过静态代码、动态行为、依赖审计、网络流量、隐私合规、威胁情报六项雷达检测。