ClawGuard 安全审计

为什么要审计 Skill

在 OpenClaw 环境里，Skill 往往以 SKILL.md 加多语言脚本的形式进入工作区。一旦用户执行 安装或加载，其中的 eval、exec、subprocess 或隐蔽网络请求就可能直接落地。更棘手的是「说明书写天气查询，代码却在读 SSH 私钥」——表面合规、行为越界，单靠关键字扫描很难拦住。

审计流程与核心能力

ClawGuard Auditor（CG-A v3）把审计拆成可重复的六段式检查：

1. 读全量目标：除 .js / .py / .sh 等源码外，v3 会扫描 SKILL.md 正文里的代码块，避免「文档藏刀」。
2. 元数据校验：frontmatter 是否完整、metadata.risk 是否为 safe、metadata.requires 是否夹带可疑二进制。
3. 危险模式：eval()、exec()、__import__()、child_process.execSync、os.system() 等列为 Critical 直接否决；动态 fetch、环境变量访问等列为高风险，阻断并人工复核。
4. 意图对齐（v3 核心）：从描述抽取「声称用途」，对照代码行为做语义相似度；明显 INTENT MISMATCH 单独告警。
5. 混淆与供应链：多层 Base64/Hex/拼接/String.fromCharCode/零宽字符等检测；结合 package.json、requirements.txt 与 NVD / GitHub Advisory / OSV 做 CVE 分级（CRITICAL 自动拒绝）。
6. ML 异常：对代码特征做集成检测，辅助识别非常规攻击形态。

终端输出采用 五档风险分（TIER0～TIER4，0–100 分），从自动放行到自动拒绝，便于和 OpenClaw 安装流对接。

适用边界

本技能是 安装前/接入前 的静态与语义审计，不能替代运行时沙箱或人工渗透测试。语义评分与 ML 结果应作为决策输入，对 TIER_2 及以上建议保留人工复核。文档原则：安全优先于执行。