view --main clauwdit-audit-bezopasnosti-openclaw-agentov.md

clauwdit — Аудит безопасности OpenClaw агентов

Name: clauwdit — Аудит безопасности OpenClaw агентов
Author: openclaw/skills

Clauwdit решает критически важную проблему: обеспечение безопасности ваших OpenClaw агентов. Он анализирует файлы SKILL.md, выявляя потенциальные уязвимости, такие как инъекции запросов, утечки учетных данных и выполнение опасных команд, до их развертывания. Это позволяет значительно повысить уровень кибербезопасности вашей инфраструктуры.

Clauwdit предоставляет детальный аудит безопасности файлов SKILL.md, оценивая их надежность по шкале от 0 до 100. Инструмент распознает сложные схемы, включая обфускацию полезной нагрузки, использование Unicode-хомоглифов для обхода защиты от инъекций, а также обнаруживает потенциальные каналы защиты данных через HTTP, DNS и другие кодированные протоколы. Зонально-ориентированный анализ учитывает структуру markdown, что позволяет отличать исполняемый код от документации.

Благодаря поддержке Bash, Markdown, HTTP, JSON и интеграции с OpenClaw, Clauwdit обеспечивает комплексную и эффективную проверку безопасности. Он позволяет оперативно выявлять и устранять риски, связанные с несанкционированным доступом и компрометацией данных, тем самым укрепляя общую безопасность вашей системы.

$ git log --oneline --stat

⭐ звёзды: 3,588

форки: 1,007

обновлено: 30 марта 2026 года в 08:04

Проводник файлов

1 файлы

SKILL.md

readonly --- lines

--- name: clauwdit description: Security auditor for AI agent skills. Scans SKILL.md files for prompt injection, data exfiltration, obfuscation, and dangerous capability combinations. version: 1.0.0 metadata: openclaw: tags: - security - audit - trust - safety - scanning --- # ClawAudit — Security Auditor for Agent Skills Static security analyzer for OpenClaw SKILL.md files. Detects prompt injection, credential exfiltration, obfuscated payloads, and dangerous capability combinations before you install. ## What It Does Paste or pipe any SKILL.md content and get back a trust score (0-100) with detailed findings. **Detects:** - Prompt injection and agent manipulation (including Unicode homoglyph evasion) - Data exfiltration patterns (HTTP, DNS, encoded channels) - Dangerous shell commands (curl|sh, /dev/tcp, process substitution) - Credential harvesting (env vars, SSH keys, API tokens) - Obfuscated payloads (base64, hex escapes, eval chains) - Compound threats (e.g. file read + network out = exfiltration) - Permission mismatches (undeclared capabilities) **Zone-aware analysis** — understands markdown structure. Code blocks are weighted as executable instructions. Security documentation describing threats is not flagged as a threat itself. ## Usage Audit a skill before installing: ```bash curl -s https://clauwdit.4worlds.dev/audit/author/skill-name ``` Or POST raw skill content: ```bash curl -s -X POST https://clauwdit.4worlds.dev/audit -H "Content-Type: application/json" -d '{"skill":"author/skill-name"}' ``` ## Trust Tiers | Score | Tier | Meaning | |-------|------|---------| | 80-100 | Trusted | No significant issues found | | 60-79 | Moderate | Minor concerns, review recommended | | 40-59 | Suspicious | Significant issues, use with caution | | 0-39 | Dangerous | Critical threats detected, do not install | ## Response Format ```json { "trust": { "score": 85, "tier": "trusted" }, "findings": [ { "severity": "medium", "description": "Network request capability detected", "zone": "code", "line": 12 } ], "capabilities": ["network_out", "file_read"], "compoundThreats": [], "permissionIntegrity": { "undeclared": [], "unused": [] } } ``` ## About Built by 4Worlds. Zone-aware static analysis with 60+ detection patterns, Unicode homoglyph normalization, and compound threat detection.

Инициализация мануала...