【最新】阿里云ClawHub Skill扫描：3万个AI Agent技能中的安全度量

2025年以来，以OpenClaw为代表的AI Agent框架迅速崛起，催生了ClawHub等技能分发平台Agent通过安装Skill获得外部工具调用、数据处理、自动化执行等能力——本质上，Skill就是AI时代的“软件包”。

然而，与npm、PyPI等成熟包管理生态相比，AI Skill生态的安全治理几乎处于真空状态。Skill不只是代码，它是自然语言提示词 + 执行脚本 + 权限声明的混合体，攻击面远超传统软件包。

阿里云云安全中心技术团队对收集到的Skill进行了系统性安全扫描，本文分享我们的发现、方法论与思考。

我们对全部检出样本按威胁类型进行了分类标注：

这是本次扫描最具技术价值的发现：

根本原因：两者检测的对象维度完全不同。

两类检测能力高度正交、互为补充。 仅依赖传统引擎将遗漏84.6%的语义级威胁；仅依赖AI则可能放过12.0%的已知恶意代码特征。两者联合研判才是AI Skill安全检测的正确范式。

伪装手法： 攻击者发布了一个名为ClawHub的Skill，伪装成官方ClawHub CLI工具。在SKILL.md的Prerequisites中嵌入恶意下载步骤：

攻击链：

案例二：intel-asrai——隐蔽的私钥窃取通道

攻击链：

为什么传统引擎漏报：

AI引擎检出关键： 识别出“私钥作为URL查询参数传递”这一安全反模式，并结合“加密货币”场景判定为凭据窃取。

• 发布前强制安全扫描（代码 + Prompt 语义 + 权限声明）。

  
  

• 建立Skill安全评分体系，对高风险Skill降权或下架。

  
  

• 参考npm/npm audit生态经验，引入skill audit等工具链。

• Skill安装时应声明所需权限（exec、网络、文件系统），框架侧做权限校验。

  
  

• 敏感操作（exec、网络外连）应弹窗确认或进入审计日志。

  
  

• 建议参考SLSA（Supply-chain Levels for Software Artifacts）模型。

• 不要盲目信任Agent安装的任何Skill。

  
  

• 审查SKILL.md中的Prerequisites和安装步骤。

  
  

• 警惕要求配置私钥、API Key、下载外部二进制的Skill。

• 定义AI Skill的安全规范（如SKILL.md中的安全要求）。

  
  

• 建立行业级的Skill漏洞响应机制（类似NPM Security Advisories）。

  
  

• 推动“AI Skill SBOM”（软件物料清单）标准。