核心用法
Clawdex 是一款面向 ClawHub 生态的安全检查技能，由 Koi Security 提供技术支持。用户在安装任何第三方技能前，可通过调用 Clawdex API 查询目标技能的安全评级：
curl -s "https://clawdex.koi.security/api/skill/SKILL_NAME"
API 返回三种裁决结果：
- benign（安全）：已审计无恶意行为，可正常安装
- malicious（恶意）：检出恶意代码，禁止安装
- unknown（未审计）：无安全数据，需用户人工审核
安装后建议对历史技能进行批量审计，发现 malicious 结果立即卸载。
显著优点
1. 前置拦截机制：在安装环节阻断恶意代码执行，而非事后清理
2. 轻量无侵入：纯 API 查询，无需本地复杂部署
3. 生态整合：与 ClawHub 命令行工具链无缝配合
4. 威胁覆盖全面：涵盖凭据窃取、后门植入、挖矿木马、数据外泄等典型攻击向量
潜在局限
1. 覆盖盲区：unknown 状态的技能占比可能较高，需依赖用户自主判断
2. 误报/漏报风险：自动化审计存在将良性代码标记为恶意（误报）或绕过新型攻击（漏报）的可能
3. 依赖在线服务：断网或 API 故障时无法获取检测结果
4. 滞后性：新出现的恶意技能可能存在检测窗口期
适合人群
- 频繁从 ClawHub 安装第三方技能的开发者
- 企业安全团队管理内部技能仓库
- 对供应链安全有基础要求的个人用户
常规风险
- API 可用性：服务中断可能导致安装流程阻塞或绕过安全检查
- 社会工程攻击：攻击者可能伪造 Clawdex 响应或搭建钓鱼 API 端点
- 过度信任：用户可能将 benign 裁决等同于绝对安全，忽视未知漏洞
- 隐私泄露：API 查询会暴露用户感兴趣的技能名称至 Koi Security 服务器