vapi

该Skill提供对Vapi语音AI平台的全面管理能力，支持通过REST API或CLI工具管理语音助手(assistants)、通话(calls)、电话号码(phone numbers)、工具(tools)和webhooks。用户可通过Node.js辅助脚本或Vapi CLI执行创建助手、发起外呼、配置语音参数等操作，实现语音代理基础设施的代码化管理。

显著优点包括：双模式架构同时支持REST API和CLI工具，适应自动化脚本和交互式操作不同场景；安全设计完善，API Key通过环境变量管理无硬编码风险，所有通信使用HTTPS加密；功能覆盖完整，涵盖Vapi平台核心能力包括助手生命周期管理、通话控制、号码配置及webhook事件处理；开发体验友好，提供MCP文档服务器支持增强IDE智能提示，代码结构清晰易于二次开发；遵循最小权限原则，仅申请必要网络权限且敏感操作需用户主动配置认证信息。

潜在局限性方面：作为T3级社区项目，非Vapi官方或知名开源基金会维护，长期更新和维护稳定性存在一定不确定性；功能完全依赖Vapi官方API可用性，若服务中断或API版本变更将直接影响功能使用；主要面向具备技术背景的开发者，非技术用户需要理解REST API、环境变量配置等概念；同时受Vapi服务区域限制，部分地区可能存在网络延迟或合规限制。

适合的目标群体包括：需要集成语音AI能力的企业开发团队；使用Vapi平台构建智能客服、自动外呼、语音助手系统的软件工程师；寻求通过代码自动化管理语音代理基础设施的DevOps和运维人员；以及希望将语音通信能力集成到现有工作流的产品团队。

使用风险需要注意：必须妥善保管VAPI_API_KEY，避免泄露导致未授权访问和费用损失；发起电话呼叫需严格遵守当地通信法规、隐私保护政策及录音同意条款；所有功能依赖网络连接，离线环境完全无法使用；自动化操作可能导致意外通话费用累积，建议配合预算监控和日志审计；需关注Vapi API升级公告，避免接口变更导致的不兼容问题。

核心用法

Vapi Skill 是面向 OpenClaw 生态的 Vapi.ai 集成工具，支持两种操作模式：REST API 优先（默认）或 Vapi CLI 优先。通过封装官方端点，用户可完成语音助手（Assistant）的 CRUD、通话生命周期管理、电话号码配置、工具（Function Calling）注册及 Webhook 事件订阅。

典型工作流：
1. 配置 VAPI_API_KEY 环境变量；
2. 使用 assistants:list 查询现有助手，确认基线状态；
3. 通过 assistants:create 定义模型（OpenAI/Anthropic/Groq 等）、音色（ElevenLabs 等）及工具绑定；
4. 使用 calls:create 发起外呼，需指定 to/from 号码及合规提示（录音/ consent）；
5. 通过 webhooks 端点订阅事件，实现异步状态追踪。

显著优点

• 零依赖安全基线：仅使用原生 Node.js fetch，无第三方包，供应链攻击面趋近于零；依赖审计得分 95。
• 双重模式灵活部署：VAPI_MODE=api 适合 CI/CD 与自动化，VAPI_MODE=cli 适合本地交互与 MCP IDE 集成；CLI 还提供 MCP Server 支持，可直接在 Cursor/Windsurf/VSCode 中获得智能提示。
• 凭证隔离：强制从环境变量读取 VAPI_API_KEY，无硬编码风险，符合密钥管理最佳实践。
• TLS 全链路加密：所有流量指向 api.vapi.ai，TLS 1.2+ 传输，无明文出口。
• 功能覆盖完整：涵盖 Assistant、Call、Phone Number、Tool、Webhook 五大核心资源，满足从原型到生产的全周期需求。

潜在缺点与局限性

• 输入验证待强化：当前仅对 ID 做空值检查，未对 Vapi ID 格式（如 ^[a-zA-Z0-9_-]+$）做严格校验，存在格式错误导致 400 的风险（RISK-001，low）。
• 错误信息未脱敏：调试模式下可能将完整 HTTP 响应（含潜在敏感字段）抛出至日志，生产环境需手动包装（RISK-002，low）。
• 无请求超时机制：fetch 未配置 AbortController，在极端网络阻塞场景下可能挂起。
• CLI 依赖外部安装：使用 CLI 模式需额外执行 curl | bash 安装脚本，对封闭网络环境或安全敏感团队不够友好。
• 许可证未声明：元数据中缺少 license 字段，合规审计时需人工确认授权范围（RISK-003，info）。

适合人群

• 需要快速搭建语音 AI 客服或外呼系统的开发团队；
• 已在 Vapi 生态内运营、希望通过 OpenClaw 实现自动化编排的工程师；
• 追求零依赖、供应链极简的安全敏感型组织；
• 使用 Cursor/Windsurf 等 AI IDE、希望获得原生 MCP 支持的技术用户。

常规风险

• 合规与隐私：语音通话涉及电话录音、用户 consent 及 GDPR/CCPA 合规，需在 Assistant 配置中显式启用录音提示并配置 webhook 进行审计日志归档。
• 成本暴露：Vapi 按分钟计费，错误循环调用（如未加限频的 calls:create）可能导致账单激增，建议在生产环境前配置速率限制与预算告警。
• CLI 供应链：CLI 安装脚本托管于 vapi.ai，若域名被劫持或证书被替换，存在恶意代码执行风险；建议在隔离网络中通过官方 GitHub Release 二进制手动安装。