BF lz-skill-vetter-plus
Автоматический аудитор навыков OpenClaw Pro (38 правил по безопасности, производительности и качеству). Глубокая модернизация на основе форка spclaudehome v1.0.0, добавлены отчеты в формате JSON, код выхода CI, механизм исключений, адаптация движка severity-cap. Обязательно запускать перед установкой сторонних навыков. Триггеры: vet skill, audit skill, аудит безопасности, сканировать навык, проверка навыка.
машинный переводПоказать оригиналСкрыть оригинал«OpenClaw 技能自动化审计器 Pro（安全/性能/质量三维度 38 条规则）。基于 spclaudehome v1.0.0 fork…»
OpenClaw 技能自动化审计器 Pro（安全/性能/质量三维度 38 条规则）。基于 spclaudehome v1.0.0 fork 深度升级，新增 JSON 报告、CI 退出码、豁免机制、severity-cap 引擎适配。安装第三方技能前必跑。触发词：vet skill, audit skill, 安全审计, 扫描 skill, skill 检查.
Автоматический аудитор навыков OpenClaw Pro (38 правил по безопасности, производительности и качеству).
Как процесс F 31/100 · Не запустится — Скилл ссылается на файлы, которых нет в архиве: references/_*.md
Чем это грозит
Находки средней серьёзности: скорее всего скилл честный, но прочитайте, что именно насторожило сканер.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл содержит команды, которые удаляют файлы, переписывают диски или исполняют код, скачанный из сети. Агент может выполнить их без вопроса, если считает, что так требует инструкция.
Замените разрушительные команды на безопасные аналоги с подтверждением, ограничьте область действия конкретной папкой и не тяните код через curl | bash: укажите версию и контрольную сумму.
Как улучшить
- В тексте есть ссылки на отсутствующие файлы: добавьте файлы или уберите ссылки.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 11
✓ Критических и высоких находок нет
Средние и низкие: 11
-
низкая Опасные команды
cmd-privilegereferences/_rules_documentation.md:52Повышение привилегий / права на запись для всех (документация security-скилла)- SEC-SYS-002 chmod 777
security-скилл -
низкая Опасные команды
cmd-privilegereferences/patterns.md:62Повышение привилегий / права на запись для всех (строка таблицы в документации; документация security-скилла)| SEC-SYS-001 | `sudo` / `setuid` | 🟠 high |
таблицаsecurity-скилл -
низкая Опасные команды
cmd-privilegereferences/patterns.md:64Повышение привилегий / права на запись для всех (строка таблицы в документации; документация security-скилла)| SEC-SYS-003 | `chmod 777` 全开 | 🟡 medium |
таблицаsecurity-скилл -
низкая Опасные команды
cmd-privilegereferences/patterns.md:123Повышение привилегий / права на запись для всех (документация security-скилла)os.setuid(0) # safe-pattern: doc-example，非真实调用
security-скилл -
низкая Опасные команды
cmd-privilegescripts/patterns/red_flags.yml:177Повышение привилегий / права на запись для всех (строковый литерал в коде, не выполняется)name: "sudo / setuid"
строка в коде -
низкая Опасные команды
cmd-privilegescripts/patterns/red_flags.yml:179Повышение привилегий / права на запись для всех (определение детектора / чёрного списка; строковый литерал в коде, не выполняется)regex: '\b(sudo\s|chmod\s+[0-7]*[4-7][0-7]*|setuid|setgid)\b'
детекторстрока в коде -
низкая Опасные команды
cmd-privilegescripts/patterns/red_flags.yml:191Повышение привилегий / права на запись для всех (строковый литерал в коде, не выполняется)name: "chmod 777 全开"
строка в коде -
низкая Опасные команды
cmd-privilegeSKILL.md:99Повышение привилегий / права на запись для всех (документация security-скилла)os.setuid(0)
security-скилл
Ещё 3 совпадений отнесены к цитатам в документации скилла по безопасности и не считаются находками.
Просканировано файлов: 13. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
missing-refссылка на отсутствующий файл: references/_*.md
Процессный рейтинг: все десять параметров 31/100
- 0Инструменты и файлы. Не хватает 1 файла(ов): references/_*.md
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 40Согласованность. Имя во frontmatter (lz-skill-vetter-plus) не совпадает с папкой (lz-skill-vetter-20260819)
- 100Шаги. Шагов: 45
- 100Стоимость исполнения. Тело инструкции 1473 токенов
- 100Повторный запуск. Изменяющих операций нет
- low Разделов верхнего уровня: 12. Похоже на несколько доменов в одном скилле
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Формат ответа не описан: модель каждый раз решает сама
- -253 эмодзи в инструкциях: шум для модели
- +1Лицензия не указана
- +2Инструкции на одном языке
- +3Длина description 180 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 25 заголовков
- +3Пошаговые инструкции: 45 пунктов
- +4Есть примеры (6 блоков кода)
- +4Справочные файлы упоминаются в инструкциях (4 из 4)
- +3Все 3 скриптов описаны в инструкциях
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 83.