核心用法
ClawSkill 是一款围绕 RTC (RustChain Tokens) 加密货币设计的挖矿工具，宣称通过"硬件指纹证明"机制让 AI Agent 参与代币挖掘。用户通过简单的命令行操作即可完成安装、配置和启动：使用 pip install clawskill 或 npm install -g clawskill 安装后，执行 clawskill install --wallet <钱包名> 创建钱包并下载矿工脚本，再通过 clawskill start 启动后台挖矿服务。
该 Skill 的核心机制是 Proof-of-Antiquity (PoA) —— 通过 6 种硬件层面的加密检查来证明机器为真实物理设备而非虚拟机。这些检查包括时钟偏移与振荡器漂移、L1/L2/L3 缓存时序指纹、SIMD 单元身份识别（SSE/AVX/AltiVec/NEON 偏差）、热漂移熵、指令路径抖动以及反模拟行为检测。通过这些底层硬件特征，系统能够识别并惩罚虚拟机用户（奖励系数 ~0x），而对真实硬件给予 1.0x 至 2.5x 不等的奖励系数。
挖矿过程完全自动化：Agent 每几分钟向 RustChain 网络发送证明，每个周期（约10分钟）将 RTC 代币累积至用户钱包。系统还会安装 systemd 用户服务（Linux）或 LaunchAgent（macOS）实现持久化后台运行。
显著优点
从技术架构角度，该 Skill 展现了一定的设计巧思：硬件指纹识别方案较为全面，结合了多种微架构层面的特征，理论上能够有效区分真实硬件与虚拟化环境；自动化程度较高，用户无需深入了解区块链或挖矿技术即可完成部署；跨平台支持 Python 和 Node.js 生态，安装门槛低；内置钱包管理简化了加密货币操作的复杂性。
对于特定硬件持有者（如 PowerPC G4/G5、IBM POWER8 等复古设备），2.0x-2.5x 的奖励倍率提供了一定的经济激励，可能吸引硬件收藏者参与网络。
潜在缺点与局限性
安全风险极为突出：该 Skill 涉及加密货币挖矿、远程代码下载执行、深度硬件指纹收集等高危行为，安全评级为 D 级（危险级）。通过 clawskill install 命令从 GitHub 动态下载并执行矿工脚本，形成典型的供应链攻击向量；安装的 systemd/LaunchAgent 服务具有持久化特性，难以彻底清除。
隐私侵犯严重：6 种硬件指纹检查可生成高度唯一的设备标识符，即使用户清除浏览器 cookie 或使用 VPN，仍可能被跨会话追踪。这种级别的系统信息收集远超常规应用需求。
来源可信度不足：由个人开发者 Scottcjn 维护，无知名组织背书，GitHub 仓库、PyPI 和 npm 包均未经过安全审计。区块浏览器使用纯 IP 地址（50.28.86.131）而非域名，缺乏透明度和可审计性，存在网络层安全风险。
反取证特征可疑：显式的 VM 检测与惩罚机制常见于恶意软件，用于规避安全分析环境。这种行为模式与合法软件的安全透明原则相悖。
经济可行性存疑：RTC 代币的价值和网络稳定性未经验证，投入计算资源和电费的成本收益比不明。对于现代硬件（x86/ARM）仅 1.0x 基础倍率，实际收益可能极低。
适合的目标群体
不建议任何用户群体使用。若严格从技术分析角度，可能吸引以下群体（但均伴随极高风险）：
- 加密货币极客和技术实验者：对新型共识机制（PoA）有研究兴趣，但应具备独立代码审计能力并在完全隔离的环境中测试。
- 复古硬件持有者：拥有 PowerPC G4/G5、IBM POWER8 等设备且愿意承担风险的用户。
- 区块链安全研究员：用于分析 PoA 机制和硬件指纹识别技术的研究目的。
普通用户、企业环境、生产服务器、云主机用户应完全避免接触该 Skill。云服务提供商通常明确禁止加密货币挖矿，使用可能导致账号封禁。
常规使用风险
供应链攻击风险：远程下载的矿工脚本可能被篡改，导致系统完全被控制。
资源消耗与硬件损害：持续高负载挖矿将增加电费支出，可能导致 CPU/GPU 过热、硬件寿命缩短，风扇噪音影响使用体验。
合规与法律风险：未经授权在企业设备上运行可能违反公司政策；部分司法管辖区对加密货币挖矿有特定监管要求；云服务条款通常禁止此类行为。
清除困难：系统服务和 LaunchAgent 的持久化机制使卸载复杂化，可能残留后台进程持续消耗资源。
网络监控与数据外泄：周期性的网络证明通信可能泄露用户的在线状态、地理位置和硬件配置信息。
代币价值风险：RTC 作为新代币，流动性、交易所支持和长期价值均高度不确定。