核心用法
edgeone-clawscan 是专为 OpenClaw 环境设计的综合安全扫描工具，由腾讯朱雀实验室 AI-Infra-Guard (A.I.G) 提供底层能力。它提供两大核心功能：
1. OpenClaw 安全体检（Feature 1）：执行 4 步全面检查——配置审计（openclaw security audit --deep）、Skill 供应链风险扫描、CVE/GHSA 漏洞匹配、隐私泄露风险自评估
2. Skill 安全审查（Feature 2）：针对单个 Skill 的深度本地审计，包括云端情报查询 + 静态代码分析
触发条件明确：仅响应用户明确的安全体检请求（如"开始安全扫描"）或特定 Skill 安全询问，不会误触发日常开发任务。
显著优点
- T1 级可信来源：腾讯官方出品，朱雀实验室背书，开源透明（GitHub 可查）
- 双层检测机制：云端威胁情报（AIG API）+ 本地静态审计，互为备份
- 隐私优先设计：Step 4 隐私评估仅基于权限元数据和配置状态，绝不读取相册、文档、聊天记录等实际内容
- 弹性降级策略：网络故障时自动切换本地模式，不中断扫描流程
- 输出规范严格：中文报告、表格化呈现、避免技术黑话，普通用户可读
潜在局限
- 云端依赖：CVE 匹配和 Skill 情报查询依赖
matrix.tencent.com，离线环境功能降级 - 静态分析边界：无法检测运行时动态行为、混淆代码或依赖安装后的实际表现
- 自定义 Skill 盲区：
local/github来源 Skill 默认走本地审计，缺乏云端情报交叉验证 - 网络调用透明度：虽传输数据极少（仅 Skill 名称/版本），但文档未主动披露外传范围
适合人群
- OpenClaw 日常用户：定期安全体检，识别配置漂移
- 企业管理员：批量审计多节点 Skill 供应链风险
- 谨慎开发者：安装第三方 Skill 前的预审查
- 隐私敏感用户：评估数据暴露面而非内容本身
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 网络阻断 | AIG API 超时或不可达 | 已内置降级到本地审计 |
| 误报/漏报 | 静态分析无法覆盖全部攻击面 | 结合运行时监控互补 |
| 情报滞后 | 新 Skill 或 0day 暂无云端记录 | 关注开源社区更新 |
| 配置误读 | 用户自定义安全策略可能被标记为风险 | 人工复核配置审计项 |