Feishu Evolver Wrapper

核心功能

Feishu Evolver Wrapper 是 capability-evolver 的轻量级飞书集成封装层，主要解决进化算法执行过程中的状态可视化管理问题。通过注入 EVOLVE_REPORT_TOOL 环境变量，将原本静默运行的 GEP（基因表达式编程）进化循环转化为可观测、可干预的生产级服务。

核心用法

1. 进化循环执行：主入口运行完整 GEP 进化周期，支持基因表达式优化与种群迭代
2. 生命周期管理：通过 lifecycle.js 提供 start/stop/status/ensure 四种状态操作，实现守护进程级别的可靠性保障
3. 可视化仪表板：从 assets/gep/events.jsonl 解析历史数据，生成 Markdown 格式的进化趋势报告
4. 飞书原生集成：自动推送富卡片消息至 Master 环境，支持实时告警与阶段性成果展示

显著优点

• 运维友好：OpenClaw Cron 替代系统 crontab，每 10 分钟执行 ensure 检查，自动恢复崩溃/僵死进程
• 可观测性强：事件溯源存储（events.jsonl）支持任意时刻的历史回溯与数据导出至飞书文档
• 零侵入设计：作为 wrapper 层，不修改底层 evolver 核心逻辑，通过环境变量注入实现报告能力扩展

局限性与风险

• 单点依赖：飞书 API 可用性直接影响报表推送，网络波动可能导致监控盲区
• 存储无压缩：events.jsonl 长期运行后体积膨胀，未内置归档/轮转机制
• 权限泛化：EVOLVE_REPORT_TOOL 若配置不当，可能存在消息推送范围过大的信息泄露风险
• Node 运行时依赖：需保证 Node.js 环境与依赖包（飞书 SDK）的兼容性

适用人群

• 运行 GEP/遗传算法进化任务的 AI 系统管理员
• 需要实时感知模型训练/能力迭代进度的技术团队
• 构建内部 LLM 能力自动化评测体系的工程团队

常规风险

建议为 lifecycle.js 配置独立日志文件监控，避免 ensure 高频重启掩盖根因；生产环境应对 events.jsonl 设置按大小或日期的自动切割策略。

核心功能

feishu-evolver-wrapper 是 capability-evolver 技能的轻量级飞书集成包装器，主要提供三项核心能力：

1. 进化循环生命周期管理：通过 lifecycle.js 实现启动、停止、状态查询和守护进程保障（watchdog），每10分钟由 OpenClaw Cron 任务自动检查并确保循环运行。

2. 飞书富卡片报告：注入 EVOLVE_REPORT_TOOL 环境变量，将 GEP 进化过程的状态、指标、日志以结构化卡片形式推送至飞书 IM。

3. 可视化仪表盘：基于 assets/gep/events.jsonl 历史数据生成 Markdown 格式的进化仪表盘，支持指标趋势分析。

显著优点

• 集成度高：无缝衔接飞书生态，适合已采用飞书作为协作平台的团队
• 自动化运维：内置 watchdog 机制，降低守护进程管理的心智负担
• 可视化友好：历史数据仪表盘便于追踪进化算法的长期表现

严重缺陷与局限性

⚠️ 安全等级 D（危险级，不建议使用）

| 风险项 | 严重程度 | 说明 |

|--------|----------|------|

| 动态代码执行 | 🔴 关键 | `index.js:1144` 使用 `new Function()` 作为 JSON 解析回退，存在代码注入漏洞 |

| Agent 上下文越权 | 🔴 关键 | 广泛读写 `.claude/memory/` 私有目录，可篡改 Agent 运行状态 |

| Git 自动推送 | 🟠 高 | 自动执行 `git commit/push/pull`，可能导致未审查代码进入远程仓库 |

| 进程强制终止 | 🟠 高 | 具备扫描 `/proc` 并 `SIGKILL` 其他进程的能力 |

| 数据外泄风险 | 🟡 中 | 系统负载、进程信息、日志等数据通过飞书 API 外传 |

合规性缺陷：GDPR 数据最小化、用户同意机制、敏感数据访问限制、权限最小化原则均未通过。

适合人群

• 具备 Node.js 代码审计能力的个人开发者
• 愿意在完全隔离环境（容器/虚拟机）中运行实验性工具的用户
• 已对源码进行安全加固或接受风险可控场景的飞书重度用户

常规风险

• 代码注入导致 RCE：恶意构造的 payload 可通过 new Function() 执行任意系统命令
• Git 仓库污染：自动提交可能引入未经验证的变更，破坏代码历史
• 进程误杀：watchdog 逻辑可能意外终止系统中的其他 Node.js 进程
• 敏感信息泄露：内置的密钥扫描正则表明代码具备识别 API Key、私钥的能力，若被恶意利用可定向窃取凭证

强烈建议：在生产环境使用前，必须完成「移除动态代码执行」「隔离 Agent 上下文访问」「禁用 Git 自动推送」三项安全加固。