AI 代理安全威胁情报订阅服务，每日更新 CVE 与社区漏洞公告，支持自动校验与技能交叉扫描
说明：
## 核心功能
ClawSec Feed 是专为 AI 代理设计的安全威胁情报订阅服务，由 Prompt Security 开源维护。该技能通过持续监控社区驱动的威胁情报源，为 AI 代理提供实时的安全态势感知能力。
### 主要用途
– **威胁情报订阅**：整合 NVD CVE 数据库、GitHub Security Advisories 及社区审核公告，覆盖无 CVE ID 的 provisional 漏洞
– **本地技能交叉扫描**：自动比对已安装技能与漏洞清单，识别受影响组件
– **可利用性优先排序**：基于 `exploitability_score`（critical/high/medium/low）而非仅依赖 CVSS，聚焦实际可攻击的威胁
– **签名验证与完整性校验**：支持 OpenSSL 签名验证、SHA-256 校验和、路径遍历防护、zip bomb 检测等多重安全机制
### 显著优点
1. **专业安全背景**：由 Prompt Security 团队维护，聚焦 AI/LLM 代理生态的安全场景
2. **双重安装模式**：既可作为 ClawSec Suite 组件自动部署，也支持独立轻量安装
3. **纵深防御设计**：从公钥指纹 pinning 到运行时文件权限控制（skill.json 600/其他 644），体现零信任理念
4. **智能降级策略**：.skill 工件安装失败时自动回退到独立文件下载，保证可用性
5. **开源透明**：GNU AGPL v3.0 协议，代码与威胁情报 feed 均公开可审计
### 潜在局限
– **网络依赖**：必须能访问 GitHub API 和 raw.githubusercontent.com，企业内网需配置代理
– **启动信任问题**：首次下载存在”bootstrap trust”困境，需通过多通道交叉验证 checksums.json
– **bash 环境绑定**：依赖 jq、curl、shasum 等 Unix 工具链，Windows 原生支持有限
– **社区 feed 延迟**：虽宣称 daily 更新，但实际时效取决于上游 ClawSec 维护节奏
### 适合人群
– 部署 AI 代理（Claude、GPT 等）的企业安全团队
– 需要合规监控的 MCP/Skill 平台运营者
– 关注 LLM 供应链安全的个人开发者
### 常规风险
| 风险类型 | 说明 |
|———|——|
| 供应链投毒 | 若 release 签名密钥泄露或 GitHub 账号被劫持，恶意更新可伪装成合法 feed |
| 情报误报 | 社区审核的 provisional advisory 可能存在误报，需人工复核 |
| 速率限制 | 高频轮询 GitHub API 可能触发 rate limit，建议遵循 5-30 分钟间隔指南 |
| 状态文件篡改 | `~/.openclaw/clawsec-feed-state.json` 若权限配置不当，可能被本地其他进程篡改 |
会员专属
