clawsec-nanoclaw

核心用法

ClawSec 为 NanoClaw 提供三类关键操作：
1. 安装前检查 (clawsec_check_skill_safety)：在用户请求安装新技能时，先比对官方漏洞情报源，返回安全状态与风险清单，支持版本级精确匹配。
2. 全量审计 (clawsec_check_advisories)：扫描已安装技能目录（默认 ~/.claude/skills），输出严重度/可利用性矩阵，触发临界漏洞即时告警。
3. 情报浏览与缓存 (clawsec_list_advisories、clawsec_refresh_cache)：支持按严重度（severity）、可利用性评分（exploitabilityScore）筛选，缓存每 6 小时自动更新。

补充工具涵盖软件包签名验证 (clawsec_verify_skill_package)、文件完整性基线与审计日志校验，构建从“预防-检测-响应”的闭环。

显著优点

• 可信来源：情报源 https://clawsec.prompt.security/advisories/feed.json 采用 Ed25519 签名，公钥指纹硬编码校验，防篡改与中间人攻击。
• 零误报设计：仅收录经人工复核的漏洞，剔除噪音，安全团队可直接基于报告决策。
• 可利用性驱动：不仅看 CVSS 严重度，更结合 exploitability_score 排序，优先处理实际可被利用的漏洞，避免“临界疲劳”。
• 无缝集成 MCP：所有功能以 MCP Tool 形式暴露，可被自动化工作流（如定时 Cron）调用，无需人工值守。
• 供应链防护：支持验证 skill.json 元数据与 SBOM、校验发布包签名，阻断依赖混淆与恶意投毒。

潜在缺点与局限性

• 覆盖范围有限：仅监控 NanoClaw 官方生态及已收录的第三方技能，对完全私有或未索引的技能无感知。
• 实时性边界：6 小时缓存窗口意味着零日漏洞存在滞后响应期，极端场景下需手动触发 clawsec_refresh_cache。
• 无静态代码分析：明确声明不替代代码审计，无法发现业务逻辑缺陷或零日代码级漏洞。
• 签名依赖单一：当前仅支持 pinned key 模式，若官方轮换密钥需用户手动更新，缺乏多源交叉验证机制。
• 误封风险：虽宣称零误报，但若情报源误判（如标记误报），用户需手动覆盖安装，流程略显繁琐。

适合人群

• 企业级 NanoClaw 部署：需要合规审计与供应链安全治理的安全运维团队。
• 高敏感场景用户：处理机密数据、生产环境运行的 Bot 开发者，需前置风险拦截。
• 自动化安全运营：希望通过 MCP 工具链集成到 CI/CD 或定时任务的安全工程师。

常规风险

• 情报源单点故障：若 prompt.security 域名遭劫持或证书问题，可能导致假阴性（漏报）或更新失败。
• 权限过度集中：工具默认扫描整个技能目录，若容器权限配置不当，可能暴露其他用户数据。
• 社会工程绕过：攻击者可能伪造“安全通过”的提示诱导用户，需结合签名验证脚本（见文档）交叉确认。
• 缓存投毒：本地缓存文件若被篡改，将导致后续检查失效，建议启用文件完整性基线监控 (clawsec_check_integrity)。

核心用法

ClawSec for NanoClaw 是一款专为 NanoClaw 平台设计的防御性安全监控 Skill，采用 MCP（Model Context Protocol）工具架构，为 WhatsApp 机器人技能生态提供全生命周期的安全保障。其核心工作流围绕"检查-安装-监控"三阶段展开：

安装前安全检测：通过 clawsec_check_skill_safety 工具，在用户安装新技能前自动查询 curated 安全公告数据库，返回漏洞 ID、严重等级、可利用性评分等结构化信息，支持版本级精准匹配。若发现风险，系统会展示详细报告并要求用户确认，实现"知情安装"。

运行时持续监控：clawsec_check_advisories 支持对指定目录下所有已安装技能进行批量审计，默认扫描 ~/.claude/skills 路径。该工具会综合严重等级（critical/high/medium/low）与可利用性评分（high/medium/low）进行智能分级，对 critical 严重度或 high 可利用性的组合触发即时告警。

安全情报浏览：clawsec_list_advisories 提供灵活的漏洞情报检索，支持按严重等级、可利用性评分、漏洞类型等多维度过滤，便于安全团队进行趋势分析和合规报告。

完整性验证体系：除漏洞检测外，该 Skill 还包含 clawsec_verify_skill_package（包签名验证）、clawsec_check_integrity（文件完整性监控）、clawsec_verify_audit（审计日志哈希链验证）等工具，构建从软件供应链到运行时的完整信任链条。

显著优点

企业级安全架构：实现 TLS 1.2+ 强制加密传输，所有网络请求通过 secureFetch 包装器进行域名白名单校验（限定 clawsec.prompt.security、github.com 等可信域名），有效防御 SSRF 攻击。采用 Ed25519 椭圆曲线签名验证安全公告源真实性，防止中间人攻击和恶意情报注入。

零信任设计理念：代码层面实现最小权限原则——文件访问严格限定在 /workspace/project/data 等允许路径，通过 path.isAbsolute 与扩展名白名单（.zip、.tar.gz 等）双重校验阻断路径遍历攻击。MCP 工具输入全面采用 Zod 模式验证，杜绝类型混淆和注入风险。

专业安全运营支撑：安全公告源每 6 小时自动更新， curated feed 机制确保零误报。可利用性评分（exploitability_score）与严重等级（severity）双维度评估，帮助安全团队优先处理真实高风险漏洞，避免"警报疲劳"。

供应链安全保障：发布流程采用 Ed25519 签名 checksums.json，用户可通过官方提供的 Shell 脚本完整验证 SKILL.md、skill.json 及压缩包的哈希值与签名，实现从源码到部署的端到端信任传递。

极简依赖攻击面：核心功能依赖 Node.js 原生 crypto 模块与 zod 输入验证库，无繁重第三方依赖，显著降低供应链攻击风险。

潜在缺点与局限性

平台绑定性：当前版本专为 NanoClaw/WhatsApp Bot 生态设计，MCP 工具接口与其他 Agent 框架（如 LangChain、AutoGPT）不兼容，跨平台迁移需适配层开发。

离线环境限制：安全公告源依赖互联网连接（clawsec.prompt.security 域名），离线部署需手动同步缓存文件。虽然本地缓存位于 /workspace/project/data/clawsec-advisory-cache.json，但首次启动和定期更新仍需网络可用。

密钥管理刚性：Ed25519 签名密钥目前为固定公钥（SHA256: 711424e4535f84093fefb024cd1ca4ec87439e53907b305b79a631d5befba9c8），尚未实现密钥轮换机制。若发生密钥泄露或到期，需紧急发布新版本更新硬编码公钥，缺乏平滑过渡能力。

审计日志本地存储：哈希链审计日志默认存储于本地文件系统，未内置远程 SIEM 集成或云端备份机制，单点故障可能导致审计证据丢失。

功能专注度：该 Skill 专注于已知漏洞检测与完整性监控，不包含代码静态分析（SAST）、动态应用安全测试（DAST）或运行时应用自我保护（RASP）能力，深度安全审查仍需配合其他工具。

适合的目标群体

NanoClaw 平台运营者：管理多租户 WhatsApp Bot 技能实例的平台管理员，需要批量监控技能安全态势，确保租户环境符合合规要求。

企业级 Bot 开发团队：为金融、医疗、政务等高安全要求行业构建对话式 AI 应用的开发者，需在 CI/CD 流程中嵌入自动化安全门禁。

安全意识较强的个人开发者：重视供应链安全、希望避免"安装即中招"风险的独立 Bot 开发者，可利用该工具建立个人技能安装白名单机制。

安全运维（SecOps）团队：负责威胁情报运营的安全分析师，可通过该 Skill 的 MCP 工具输出集成至现有 SOAR 平台，实现漏洞响应自动化。

常规使用风险

性能影响：大规模技能目录扫描（数百个技能）可能产生数百毫秒的延迟，高频调度（如每分钟一次全量审计）会消耗显著 CPU 与网络资源。建议生产环境采用增量检查或基于事件驱动的触发模式。

缓存一致性问题：6 小时更新周期意味着新发漏洞可能存在时间窗口盲区，关键业务场景建议结合 clawsec_refresh_cache 手动刷新，或搭建私有镜像源降低延迟。

依赖可用性风险：若 clawsec.prompt.security 域名服务中断或 GitHub 发布页面不可达，签名验证与公告更新将失败。建议部署健康检查与降级策略（如延长缓存有效期）。

误操作风险：clawsec_approve_change 工具用于人工放行文件变更，若用户未经充分审查即批准，可能引入恶意修改。建议结合双人复核或自动化策略引擎强化审批流程。

Node.js 版本兼容性：依赖 Node.js 原生 crypto 模块的 Ed25519 实现，要求 Node.js v12+ 环境，旧版本运行时可能导致签名验证失败。部署前需确认基础镜像版本。