OpenClaw安全审计Skill-Vetter用法之我见
本文介绍了使用Skill-Vetter进行技能安全审计的实践。首先通过Clawhub登录并获取API token以解决限流问题,然后安装Skill-Vetter工具。文章指出正确用法是在聊天窗口直接发送扫描指令,而非生成Python脚本执行。作者通过错误示例展示了不当操作导致的扫描失败情况,强调应让大模型直接处理扫描请求。扫描结果展示了工具的基本检查功能,但需要注意正确使用方式以避免无效操作。
之前一直没有安装Skill,特别是市场上的,就是担心安全问题,怕被攻击。
但Skill都传的很好用,必须要装一个试试水。
通过Clawhub安装Skill的注意事项
遇到Clawhub限流怎么办?注册账号,然后将使用下面命令登录
clawhub login --no-browser --token clh_your_token
clawhub登录之后,选账号下面的Settings,看到API tokens,点击Create token获得。
Skill守门员:Skill-Vetter做安全审计
安装社区比较火的Skill Vetter。
使用命令安装
clawhub install skill-vetter
使用Skill-vetter扫描
可以通过功能OpenClaw对话获得Skill-vetter的使用方案。
- 扫描已安装的skill
- 扫描未安装的skill
此时我发现OpenClaw帮我创建了一个python脚本skill_vetter_preview.py,这个跟网上其他的教程不太一样。
网上大部分教程都是分2不,先安装,再使用
clawhub install skill-vetter
skill-vetter your-skill
在使用过程中,我觉得应该是在聊天窗口,直接发skill-vetter your-skill,让大模型去判断要怎么做。而不是像我下面这样的做法。
扫描结果:
错误用法示例
我让OpenClaw批量扫描所有的skill,它就生成了一个python脚本skill_vetter_preview.py,然后批量去调用,最大的问题是这个脚本只检查很少的内容,没有用到大模型的能力。
# 检查本地技能
python3 ~/.openclaw/workspace/skill-vetter/skill_vetter_preview.py /path/to/skill
# 检查 ClawHub 技能
python3 ~/.openclaw/workspace/skill-vetter/skill_vetter_preview.py https://clawhub.com/skills/my-skill
# 检查 GitHub 技能
python3 ~/.openclaw/workspace/skill-vetter/skill_vetter_preview.py https://github.com/user/repo
我在扫描ivangdavila/powerpoint-pptx时,遇到下面的问题:
python3 ~/.openclaw/workspace/skill-vetter/skill_vetter_preview.py https://clawhub.ai/ivangdavila/powerpoint-pptx
这是因为https://clawhub.ai/ivangdavila/powerpoint-pptx不是一个git地址,无法下载,也是因为我用法不对。所有让OpenClaw把脚本删除了,再开个新的session会话,才正常。
(myenv) band@DESKTOP-DP19M80:~$ python3 ~/.openclaw/workspace/skill-vetter/skill_vetter_preview.py https://clawhub.ai/ivangdavila/powerpoint-pptx
[Skill Vetter] ══════════════════════════════════════
[Skill Vetter] Skill Vetter 预览扫描
[Skill Vetter] ══════════════════════════════════════
[Skill Vetter] 技能来源:https://clawhub.ai/ivangdavila/powerpoint-pptx
[Skill Vetter] ══════════════════════════════════════
[Skill Vetter] 下载技能:https://clawhub.ai/ivangdavila/powerpoint-pptx
[Skill Vetter] 临时目录:/tmp/skill_vetter_jpkbxahb
[Skill Vetter] GitHub URL 检测到
[Skill Vetter] Git clone 失败:Cloning into '/tmp/skill_vetter_jpkbxahb'...
fatal: repository 'https://clawhub.ai/ivangdavila/powerpoint-pptx/' not found
[Skill Vetter] ❌ 下载失败,退出
更多推荐
所有评论(0)