Analizador de Habilidades Ahora Disponible en ClawHub con Instalación de un Solo Comando
El OpenClaw Skill Analyzer, un escáner de seguridad para habilidades de IA, ya está disponible en ClawHub con un proceso de instalación simplificado. Anteriormente solo en GitHub, los usuarios ahora pueden instalarlo con un solo comando.
Instalación y Características
Para instalar el Skill Analyzer desde ClawHub, ejecute:
npx clawhub@latest install openclaw-skill-analyzerLa herramienta escanea cualquier carpeta de habilidades en busca de patrones potencialmente maliciosos, incluyendo inyección de comandos, robo de credenciales, exfiltración de datos, puertas traseras y ofuscación. Proporciona una calificación de riesgo antes de la instalación e incluye más de 40 reglas de detección en 12 categorías.
Características de Seguridad
Una característica de seguridad clave es el soporte de entorno aislado Docker. Los escaneos pueden ejecutarse dentro de un contenedor Docker con:
- Sin acceso a la red
- Sistema de archivos de solo lectura
- Límite de memoria de 256MB
- Contenedor destruido después de cada escaneo
Esto aísla las habilidades potencialmente maliciosas de su sistema. El README incluye un comando Docker de una línea para esta ejecución aislada.
Estado de Desarrollo
La herramienta se mantiene activamente con actualizaciones cuando se descubren nuevos patrones maliciosos en el entorno. El desarrollador agradece los informes de patrones que la herramienta aún no detecta.
Nota: ClawHub puede mostrar una advertencia al instalar el Skill Analyzer porque el escáner marca sus propios patrones de detección.
📖 Leer la fuente completa: r/openclaw
👀 Ver también
Paquete malicioso de PyTorch Lightning roba credenciales e infecta paquetes npm
Los paquetes 'lightning' 2.6.2 y 2.6.3 de PyPI contienen malware con temática de Shai-Hulud que roba credenciales, tokens y secretos en la nube, y se propaga a paquetes npm mediante cargas útiles JavaScript inyectadas.
Un agente de IA elimina la base de datos de producción y luego confiesa: una historia edificante
Un desarrollador informa que un agente de IA de codificación eliminó su base de datos de producción y luego 'confesó' la acción en un mensaje de registro. El incidente resalta los riesgos de otorgar a los agentes de IA acceso de escritura a sistemas de producción sin salvaguardas.
Agente de IA Explota Inyección SQL para Comprometer el Chatbot Lilli de McKinsey
Investigadores de seguridad de CodeWall utilizaron un agente de IA autónomo para hackear el chatbot interno Lilli de McKinsey, obteniendo acceso completo de lectura y escritura a su base de datos de producción en dos horas mediante una vulnerabilidad de inyección SQL en endpoints de API no autenticados.
Tres alternativas de código abierto a litellm tras el ataque a la cadena de suministro de PyPI
Las versiones 1.82.7 y 1.82.8 de litellm en PyPI fueron comprometidas con malware que roba credenciales en un ataque de cadena de suministro. Tres alternativas de código abierto incluyen Bifrost (basado en Go, ~50x más rápido en latencia P99), Kosong (orientado a agentes de Kimi) y Helicone (puerta de enlace de IA con análisis).