OpenClaw的Skill生态确实诱人，翻译、查天气、写代码、自动化……功能五花八门，装上去AI就像变了个模样。但你有没有想过，给OpenClaw装Skill，本质上就是把一扇门打开，让一段代码进来，能访问你的文件、执行你的系统命令、读取你的浏览器会话。
这扇门开多大，风险就有多大。
安全公司Koi Security在2026年审计了ClawHub上全部2857个Skill，发现其中341个是恶意代码，后续更新的扫描数据显示比例已逼近20%。其中一个被下载量顶到榜单前列的"Twitter管理"Skill，第一步就在后台静默执行curl命令，把你的数据发给Skill作者控制的远端服务器，全程没有任何提示。
下面是几类真正需要警惕的Skill类型（按风险程度排列）
1、要求输入API密钥的Skill
安装时让你填API Key、Secret Token或云服务密钥的，直接绕过。
你输进去的那串字符，Skill完全可以在后台用一个网络请求发出去。GitHub每天都在发生密钥泄露事件，开发者不小心提交了AWS密钥，一觉醒来账单多了几千美元，全被用来挖矿。恶意Skill能做到的事和这个完全一样，只是换了个触发方式而已。
碰到要密钥的先问自己：这个功能本来就需要密钥吗？一个天气查询Skill为什么要你的云服务凭证？
2、能执行终端命令的Skill
描述里出现"系统管理""执行命令""自动化运维"这类字眼，就得多想想。
这类Skill相当于把键盘交出去——它能往终端输什么，你就损失什么。Prompt Injection攻击已经是被微软、OpenAI等公司确认的真实威胁：网页里藏着隐藏指令，AI读了就照做，用户的邮件全转发出去了，毫无察觉。如果Skill还能执行命令，那攻击面就更大了。
非技术用户最好对这类Skill敬而远之。
3、能控制浏览器的Skill
你的浏览器里存着什么？所有已登录账号的Cookie，相当于你的微信、网银、电商平台的进门凭证，不需要密码，拿到Cookie直接进。
ClawHub上已有Skill被证实会窃取浏览器Session和Cookie数据。如果一定要用这类Skill，确保它跑在一个与主浏览器完全隔离的环境里，千万别让它碰你日常登录的浏览器。
4、"下载量高"不等于安全
这个认知误区值得单独说一下。
Silverfort研究人员发现，ClawHub平台存在刷榜漏洞，攻击者可以人工拉高Skill的下载量，让自己的恶意Skill出现在搜索结果第一位。研究人员实测：当他们让Agent自己去搜"邮件管理工具"，Agent真的自动选择并安装了排名最高的恶意Skill。
这个漏洞已经被修复，但教训很明确：榜单排名不能作为信任凭证。
5、插件（Plugin）比Skill更危险
Skill是在OpenClaw上运行的App，插件则是装进OpenClaw核心的代码。npm供应链攻击案例很多，2022年ua-parser-js、rc等热门包被黑客入侵，植入了挖矿代码和密码窃取程序，安装的那一刻就触发了。OpenClaw的插件走的也是npm，同样的风险路径。
只装官方插件，非官方的一概不碰，这条规则没有例外。
6、能读文件、发网络请求的Skill
读文件类Skill可以读到你的SSH私钥、AWS凭证、密码管理器数据库，然后悄悄发出去。
能发起任意网络请求的Skill，则可以扫你的内网、访问本应隔离的内部服务，Capital One数据泄露1.06亿用户数据的那次攻击（SSRF漏洞）用的就是这种路径。
只使用明确说明会访问哪些地址、有可信来源的Skill，不透明的网络请求行为是红旗信号。
装Skill前，问自己三个问题
一：真的需要这个功能吗？很多人装了一堆用不上的Skill，却没意识到每多一个Skill就多一个攻击面。
二：来源可靠吗？官方出品还是社区第三方？GitHub仓库有多少Star、有没有活跃维护？
三：权限合理吗？功能和它要的权限是否匹配？对不上号的，直接不装。
如果你已经装了可疑的Skill，先在设置里禁用，然后去你输入过密钥的平台把密码全改一遍，再检查账号有没有异常登录记录。
OpenClaw现在已经和VirusTotal合作，对ClawHub上传的Skill做扫描，安全状况比早期好了很多。但技术防护永远是被动的，不装、少装、只装官方的，才是真正把风险控在自己手里。
AI 速览
