核心用法
edgeone-clawscan 是专为 OpenClaw 环境设计的综合安全扫描工具，由腾讯朱雀实验室 A.I.G（AI-Infra-Guard）团队开发。用户可通过自然语言指令触发，如"开始安全体检""做一次全面安全检查"等。该 Skill 提供两大核心功能：
- OpenClaw 系统安全扫描：执行4步完整审计，包括配置审计（
openclaw security audit --deep）、Skill 供应链风险检测、CVE 漏洞版本匹配、隐私泄露风险自评估 - 单个 Skill 安全扫描：针对特定 Skill 进行安装前审查或已安装 Skill 审计
配置项仅需设置 AIG_BASE_URL 指向 AIG 实例（默认使用腾讯云 matrix.tencent.com/clawscan）。
显著优点
1. 来源权威可信：腾讯朱雀实验室官方出品，安全认证报告评级 S+（96分），T1 级来源可信度
2. 架构安全简洁：纯 Markdown 文档型 Skill，无本地可执行代码，无第三方依赖
3. 数据最小化设计：外部请求仅传输 Skill 名称、来源标签和版本号，绝不发送文件内容、凭证或个人数据
4. 隐私披露透明：明确公示数据发送范围，4步审计流程清晰可预期
5. 合规性完备：通过 GDPR、CCPA 合规检查，遵循数据最小化与透明披露原则
6. 双重检测机制：云端威胁情报（AIG 数据库）+ 本地静态代码审计结合，单点故障不影响整体扫描
潜在缺点与局限性
1. 云端依赖：供应链风险查询和 CVE 匹配依赖腾讯 AIG 云服务，网络不可用时降级为纯本地审计
2. 静态分析局限：本地 Skill 审计为静态代码分析，无法覆盖运行时行为或动态触发的高危操作
3. 自定义 Skill 覆盖有限：local/github 来源 Skill 默认跳过云端查询，仅靠本地规则核查
4. 无自动修复：仅生成检测报告，不提供一键修复或自动加固功能
5. 输出语言固定：面向用户的报告固定为中文，暂无多语言切换能力
适合人群
- OpenClaw 环境管理员，需要定期安全巡检
- 开发者在安装第三方 Skill 前的安全审查
- 企业安全合规团队，需满足数据安全审计要求
- 对 AI 工具链供应链安全有顾虑的技术用户
常规风险
- 误报与漏报风险：静态分析可能遗漏编码混淆的恶意代码；云端情报可能存在数据滞后
- 网络暴露面：虽数据最小化，但外部 API 调用本身构成网络出口，极端网络劫持场景存在理论风险
- 权限解释差异：高权限 Skill 的"用途一致性"判断依赖声明文档与实际代码的比对，复杂逻辑可能存在主观解释空间
- 运行时盲区：认证报告明确声明"不代表对运行时行为的完全保证"，持久化后门、延迟触发等高级威胁可能逃逸检测
该 Skill 本身作为安全基础设施组件，设计严谨、披露透明，可作为 OpenClaw 生态的安全基准参考。