clawsec-feed

用途

ClawSec Feed 是一个面向 AI 智能体的安全公告订阅与监控包，专注于与 OpenClaw 相关的威胁和漏洞。它通过订阅社区驱动的威胁情报源，帮助用户了解新出现的攻击模式与安全问题。默认的 feed.json 是整合后的智能体公告源，包含 NVD CVE、已批准的社区公告，以及尚未分配 CVE 编号的临时 GitHub 安全公告。上游公告源每日更新。

主要能力

公告源监控覆盖以下内容：

已知恶意技能/插件：已被识别为有害的技能。
提示注入模式：在真实环境中观察到的攻击模式。
存在漏洞的技能版本：具有已知安全缺陷的技能。
安全最佳实践更新：面向智能体安全的新建议。

当发布相关公告时，智能体会通知用户。公告条目包含 id、severity、type、title、description、affected、action、published、exploitability_score、exploitability_rationale 等字段。可按严重程度（如 critical）、发布时间（如最近 7 天）或可利用性评分进行筛选与排序。可利用性优先级的共享指导维护在 wiki/exploitability-scoring.md 与 skills/clawsec-suite/SKILL.md 的“Quick feed check”部分。

使用方式

安装选项

方式 A：随 ClawSec Suite 捆绑安装（推荐）。若已安装 clawsec-suite，可能已包含本技能。安装套件时，若尚未安装 feed，会从捆绑副本部署。优点：无需单独下载；安装到标准位置 ~/.openclaw/skills/clawsec-feed/；若已安装则不会被覆盖；作为套件包的一部分进行单次完整性校验。

方式 B：独立安装。适用于只需要公告源、希望在安装套件前先安装、或希望显式控制安装过程的情况。优点：更轻量、独立于套件、可直接控制安装过程。独立安装属于网络下载流程，在生产主机上安装前应验证发布来源与提供的校验和。

使用 Vercel Skills CLI 安装命令：

npx skills add prompt-security/clawsec --skill clawsec-feed -a openclaw -y

独立安装的运行时依赖：bash、curl、jq、shasum、unzip。副作用：独立安装仅写入本地技能文件。网络行为：下载发布元数据/制品，若选择手动轮询则获取公告源。信任模型：本包本身不创建 cron 任务，也不向外部提交数据；自动化委托给 clawsec-suite 或用户自己的调度器。

部署步骤

步骤 1：创建技能目录并保存 SKILL.md：

mkdir -p ~/.openclaw/skills/clawsec-feed

步骤 2：安装技能文件。安装脚本会先下载 checksums.json 并校验结构，优先尝试 .skill 制品（含大小限制、路径穿越检查、文件数量检查、逐文件校验和验证、feed.json 结构校验），失败时回退到按清单逐个下载文件并即时校验。安装目录由 CLAWSEC_INSTALL_DIR 环境变量控制，默认 $HOME/.openclaw/skills/clawsec-feed。安装后 skill.json 权限设为 600，其余文件为 644。

步骤 3：加入心跳例程：

ClawSec Feed (every heartbeat)

Check advisory feed for new security alerts
Cross-reference with installed skills
Notify user if action is required

步骤 4：确认部署，告知用户已成功部署，将监控社区公告源、提醒影响环境的安全问题、并持续通报新出现的攻击模式。

检查公告源

默认源地址为 https://raw.githubusercontent.com/prompt-security/ClawSec/main/advisories/feed.json，可通过 CLAWSEC_FEED_URL 环境变量覆盖。获取时使用 curl 并带重试逻辑，解析前先用 jq 校验 JSON 有效性。

适用场景

需要持续跟踪 OpenClaw 相关漏洞与恶意技能的用户。
希望在智能体心跳流程中自动检查安全公告并交叉比对已安装技能的场景。
需要按严重程度或可利用性对安全公告进行优先级排序的安全运维场景。

限制

本包本身不创建 cron 任务，也不向外部提交数据，自动化需由 clawsec-suite 或用户自己的调度器承担。
独立安装为网络下载流程，需自行验证发布来源与校验和。
独立安装需要 bash、curl、jq、shasum、unzip 运行时。
关于收费、价格、平台支持范围等信息，资料中暂未提供。