OpenClawスキル安全スキャナー：31,371スキルのうち7.6%が危険と判定されました

開発者が、ClawHubスキルレジストリ全体をセキュリティリスクについて分析する自動スキャンツールを作成しました。このツールはすべてのSKILL.mdファイルとバンドルされたスクリプトに対して静的解析を行い、マルウェアパターン、プロンプトインジェクション、データ流出、権限濫用、難読化コードをチェックします。

主な発見

31,371のスキルをスキャンした結果:

• 2,371のスキルが危険と判定（約7.6%）
• レジストリ全体の平均信頼スコア: 100点満点中93.2点
• 発見された危険なパターンには、ウォレットドレイナー、認証情報窃取、環境変数流出、bashへのcurlパイプ、プロンプトインジェクションが含まれる

仕組み

スキャナーは、ClawHavocとCiscoレポートからの既知の攻撃署名に対するパターンマッチングを使用します。レジストリ全体を6時間ごとに再スキャンします。開発者は、特にウォレットと連携する正当なウォレットスキルで誤検知があると指摘していますが、手動レビューでは見逃される可能性のある明らかな脅威を捕捉します。

使用方法

特定のスキルをAPIでチェック:

curl -s checksafe.dev/api/v1/skills/SKILL-NAME-HERE/badge.json

毎回のインストール前に自動チェックするには、OpenClawスキルを使用:

clawhub install agora-sentinel

完全なデータベースはchecksafe.dev/dashboard/でアクセスでき、危険度順にソートされた最も危険なスキルはchecksafe.dev/dashboard/dangerousで閲覧可能です。

重要な注意点

このツールは静的解析のみであり、すべてを捕捉するわけではありません。特に正当なウォレットツールでは誤検知が存在します。開発者はOpenClawやClawHubとは関係ありません - これは企業ではなく個人プロジェクトです。APIは認証不要で公開されており、バッジは埋め込み可能です。