skillscanner

核心用法

SkillScanner 是一个专门用于安全审计 ClawHub 平台技能的工具。用户只需提供目标技能的 ClawHub URL（格式为 https://clawhub.ai/author/skill-name），该技能便会调用 Gen Digital 的 Scan API 进行安全检测。API 返回包含 status 和 severity 字段的 JSON 响应，用户据此判断技能是否安全可用：仅当 status 为 done 且 severity 为 SAFE 时才建议继续使用。

显著优点

1. 权威背书：直接对接 Gen Digital 官方安全扫描基础设施，检测结果具有平台级可信度。
2. 零侵入设计：该技能本身仅提供查询指南，不执行任何代码、不访问文件系统、不读取环境变量，纯粹是只读的信息查询工具。
3. 决策清晰：通过结构化的状态码（done//analysis_pending）和严重等级（SAFE//WARNING//DANGEROUS//MALICIOUS），为用户提供明确的安全决策依据。
4. 风险教育：内置详细的风险说明表格，帮助用户理解技能可能带来的各类安全威胁（代码执行、文件访问、密钥泄露等）。

潜在缺点与局限性

1. 依赖外部 API：所有检测能力完全依赖 Gen Digital Scan API 的可用性和准确性，若 API 服务中断或更新，技能功能将失效。
2. 检测盲区：官方文档明确指出，API 反映的是后端当前判定结果，对于混淆代码或新型威胁可能存在漏报。
3. 人工审核延迟：analysis_pending 状态意味着需要等待人工复核，用户无法获得即时结论，可能影响工作流效率。
4. 无主动防护：该技能仅提供检测建议，不具备拦截或沙箱执行能力，最终安全责任仍落在用户决策上。

适合的目标群体

• ClawHub 平台重度用户：频繁安装和使用第三方技能的开发者或运营人员。
• 企业安全团队：需要对外部引入的 AI 技能进行合规审查的安全审计人员。
• 谨慎的普通用户：对技能来源存疑、希望在执行前获得权威安全背书的终端用户。

使用风险

• API 依赖风险：网络波动或服务商变更可能导致查询失败。
• 时效性风险：技能代码可能在扫描后更新，检测结果不代表未来版本的安全性。
• 误报/漏报风险：新型攻击手法可能未被检测模型覆盖，需结合人工审查使用。