技能安全审计

技能简介

molt-security-auditor 用于扫描 ClawdHub/Moltbook 技能中的潜在威胁，包括环境变量读取、Webhook 数据外泄等风险模式，同时生成可验证的 BTC 风格哈希链作为审计凭证。

能做什么

• 检测技能代码中的 ENV_READ 模式（.env、process.env）
• 识别 EXFIL 外泄行为（curl、fetch 调用 webhook）
• 发现 FS_ABUSE 文件滥用（readFileSync 读取 secret）
• 生成 SHA256 工作量证明哈希链供后续验证

使用说明

安装指令：

npx molthub@latest install molt-security-auditor

执行审计：

exec: node skills/molt-security-auditor/audit.js <skill_url_or_path>

示例：审计远程技能文件并输出威胁数量与哈希链。

输入与输出

见下方输入与输出表格。

风险提示

• 仅支持静态代码扫描，无法检测运行时动态行为
• 哈希链生成依赖本地计算资源，大文件可能耗时较长
• 威胁规则基于正则匹配，存在误报或漏报可能

来源信息

原始链接：https://github.com/openclaw/skills/tree/main/skills/kunoiiv/molt-security-auditor/SKILL.md
来源类型：GitHub 仓库