用途：面向 OpenClaw Agent 场景的威胁检测技能，基于《OpenClaw 极简安全实践指南》红线规则与 MITRE ATT&CK 框架，对命令、文件、网络流量进行实时或离线检测，覆盖传统 shell 攻击及 Prompt 注入触发的间接恶意行为。
主要能力：命令级实时模式匹配；扫描 Skill 与脚本文件中的恶意代码和混淆载荷；关联多条命令识别多步攻击链；分析出站连接与 DNS 查询，检测数据外传和 C2 通信；识别 Prompt 注入指令；按严重程度分级告警并给出阻断建议与取证信息。检测范围包括数据外传、反弹 Shell、文件泄露、凭证窃取、持久化及 Prompt 注入触发的恶意行为，并映射至 MITRE ATT&CK 的初始访问、执行、持久化、凭证访问、收集、外传、命令与控制等战术。
使用方式：需具备 OpenClaw 实例日志访问、命令历史与文件系统读取权限，实时检测还需网络流量监控权限；目标实例运行中或有历史日志，检测规则库内置于脚本中。工作流依次为命令级检测、文件级扫描、行为链分析、网络流量检测、Prompt 注入检测、告警与响应。告警输出含 id、时间戳、严重程度、类别、匹配模式、命令、MITRE 编号、上下文、建议与证据等字段。
适用场景：AI Agent 安全审计、Skill 供应链投毒排查、异常命令与出站流量分析、Prompt 注入事件取证。
限制：具体安装命令、运行参数、依赖版本及价格暂未提供；检测效果依赖权限与规则库覆盖范围，可能存在误报，MEDIUM 级需人工复查。