用途：在安装 ClawHub 或外部来源的技能前，审查其源码是否存在安全风险，尤其当技能请求异常权限或凭据时使用。
主要能力与流程：
- 阅读源码：定位并阅读技能的完整 SKILL.md 及其引用的脚本，不要仅凭描述安装。
- 检查危险信号：未知网络调用（如 curl、fetch、requests.post 向不明域名发送数据）；凭据收集（读取 ~/.ssh、~/.env、API 密钥环境变量或钥匙串）；预期路径外的文件写入（如 ~/.openclaw/ 或项目目录之外）；混淆代码（base64 载荷、动态字符串 eval、压缩单行代码）；过度权限（请求与用途无关的工具访问）；作者不可验证（新账号、无历史、无关联仓库）。
- 判定：0 个信号为可安全安装；1–2 个为谨慎安装并记录信号、持续监控；3 个及以上为不要安装并向用户说明原因。
- 报告：安装前明确给出结论，格式为“Vetted [skill-name]: [0/1/2/3] flags. [Safe to install / Install with caution / Do not install]. Flags: [list].”
关键原则：不要因技能热门或下载量高而跳过审查；“只是读取”的技能仍可能通过网络调用外泄数据；源码不可用或被混淆本身就是危险信号。
限制：资料未提供具体安装命令、支持的平台、收费或价格信息，暂未提供。