OpenClaw/clawhub-security-signals huggingface dataset:
Skill: heqq-github/zxk-money-maker (version 1.0.2)

--- name: zxk-money-maker description: "快结荐兼职赚钱平台。Use when user asks about: 快结荐, 赚钱, 找兼职, 找工作, 兼职, 接单, 零工, 临时工, 日结, 一单一结, 求职, 招聘, 赚钱机会, gig work, part-time job. Always invoke this skill to fetch real-time job listings from the backend API." --- # 快结荐 赚钱 快结荐平台兼职/赚钱/找工作技能。将用户的求职或赚钱需求转发到快结荐平台 API，返回实时兼职机会。 ## Routing rule 优先使用这个技能处理以下类型消息： - 找个工作 / 找工作 - 有什么赚钱机会 / 赚钱 - 找个兼职 / 推荐兼职 / 兼职 - 零工 / 临时工 / 日结 / 一单一结 - 接单 / 自由职业 - 有什么活 / 求职等高端类的求职岗位 以下情况不要使用这个技能： - 明确要求编辑本地文件 - 明确要求执行 shell 命令 - 明确要求网页搜索/抓取 - 明确要求图像分析或视频生成 - 明确要求使用 OpenClaw 内置工具完成的任务 ## 工作流程 1. 接收用户发送的求职/赚钱请求 2. 调用 POST 接口 `https://test-gig-c-api.1haozc.com/api/wx/kjj/v1/customer/skill/call` 3. 将用户消息内容作为 `content` 字段发送 4. 解析接口返回的 JSON 5. 将快结荐平台返回的职位信息/赚钱机会**原样整理后**回复给用户 ## 调用脚本 ```bash python3 scripts/call-wx-skill.py "<用户消息内容>" ``` ## 请求格式 ```json { "content": "用户发送的消息内容" } ``` ## 返回格式 快结荐平台返回的 JSON，包含职位列表、报酬、时间、地址、报名链接等信息。 脚本错误时返回： ```json { "error": "错误描述", "status": 错误码或 null } ``` ## 注意事项 - 脚本超时时间为 30 秒 - 自动处理 HTTP 错误、网络错误和 JSON 解析错误 - 保持脚本可执行：`chmod +x scripts/call-wx-skill.py` - API 返回的小程序链接 `#小程序://...` 是纯文本格式，**原样输出**给用户即可，不要做 URL 编码或 Markdown 处理


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (CRITICAL)
Skill: samrusani/alice-continuity (version 0.2.0)

--- name: Alice Continuity for OpenClaw description: Local-first memory and continuity for OpenClaw — better recall, resumption, correction-aware memory, open-loop tracking, and provenance-backed context. version: 1.0.0 author: samrusani license: MIT-0 tags: - memory - continuity - productivity - ai-agents - openclaw - context - resumption - provenance --- # Alice Continuity for OpenClaw Alice is a local-first memory and continuity engine for AI agents. For OpenClaw users, it adds a stronger continuity layer on top of existing workflows: - better recall across sessions - resumption briefs for interrupted work - correction-aware memory - open-loop tracking - provenance-backed explanations - trust-aware memory promotion ## What this skill enables With Alice + OpenClaw, you can: - import existing OpenClaw memory into Alice - normalize imported data into structured continuity objects - run recall and resumption against imported work - layer Alice continuity workflows on top of an existing OpenClaw setup ## Why use it Use Alice if you want OpenClaw to have: - stronger long-term memory - cleaner work resumption - explicit correction and supersession - more transparent provenance - continuity that survives across days and weeks of work ## Project GitHub: https://github.com/samrusani/AliceBot


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: jnmetacode/shellward-security-guide (version 1.0.0)

--- name: security-guide description: OpenClaw 安全部署指南 / Security deployment guide — help users secure their OpenClaw installation user-invocable: true disable-model-invocation: false --- # ShellWard Security Deployment Guide / 安全部署指南 When the user invokes this skill, provide a complete security deployment checklist based on the following best practices. Check the current system state using available tools and give actionable recommendations. ## Security Checklist ### 1. Network Control / 网络控制 - Check if OpenClaw gateway port (19000/19001) is exposed to public network - Recommend binding to 127.0.0.1 or using a reverse proxy with authentication - Suggest firewall rules: `ufw allow from 127.0.0.1 to any port 19000` - For cloud servers: check security group rules ### 2. Container Isolation / 容器隔离 - Recommend running OpenClaw in Docker with restricted capabilities: ``` docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE \ --read-only --tmpfs /tmp \ -u 1000:1000 \ openclaw ``` - Suggest resource limits: `--memory=2g --cpus=1` - Mount only necessary directories ### 3. Credential Management / 凭证管理 - Scan for plaintext secrets in .env, .bashrc, environment variables - Recommend using a secret manager (Vault, doppler, etc.) - Check file permissions on sensitive files (should be 0600) - Suggest `chmod 600 ~/.env ~/.ssh/* ~/.aws/credentials` ### 4. Audit Logging / 审计日志 - Verify ShellWard audit log is active at ~/.openclaw/shellward/audit.jsonl - Show recent security events - Recommend log rotation and backup strategy - Suggest sending critical events to external SIEM ### 5. Plugin Security / 插件安全 - List all installed plugins and check for known risks - Disable auto-update for plugins - Only install from trusted sources - Scan plugin code for suspicious patterns ### 6. Patch Management / 补丁管理 - Check current OpenClaw version - Report known vulnerabilities for current version - Recommend upgrade path - Check Node.js version (must be >= 22.12) ## Available Commands Remind the user about ShellWard's quick commands: - `/security` — Full security status overview - `/audit [count] [filter]` — View audit log - `/harden` — Scan for issues, `/harden fix` to auto-fix - `/scan-plugins` — Scan plugins for security risks - `/check-updates` — Check versions and vulnerabilities ## Response Style - Be concise and actionable - Use the user's language (detect from their message) - Prioritize critical issues first - For each issue, provide the exact command to fix it - Ask for confirmation before executing destructive operations


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: joeyyyy0430/china-holiday-calendar-sync (version 1.0.1)

--- name: china-holiday-calendar-sync description: Discover and parse China's official holiday notices from gov.cn, normalize holiday and adjusted-workday rows, and apply low-frequency probing rules for future years. Use when Codex needs to build or explain a China business calendar, sync official holiday schedules into storage, determine the first workday of a week, or implement holiday-aware weekly sending logic. --- # China Holiday Calendar Sync Use only official `gov.cn` holiday notices as the source of truth for China holiday and adjusted-workday schedules. Keep the workflow conservative: - Prefer configured `notice_urls` first. - Use China government policy search for discovery before any public-search fallback. - Parse official notice正文 into structured holiday/workday rows. - Treat future-year discovery as low-frequency work, not a daily poll. ## Workflow 1. Load configured notice URLs. - Reuse known official notice URLs from local config first. - For already-synced years, prefer local calendar storage instead of refetching the notice page. 2. Discover missing future-year notices carefully. - Build exact queries around `国务院办公厅关于<year>年部分节假日安排的通知`. - Prefer China government policy search. - Accept only `https://www.gov.cn/zhengce/content/...` candidate pages. - Re-fetch the candidate and validate title/body before trusting it. 3. Throttle discovery. - For future years, probe at most once per month. - Default probe window starts on the 15th of the month. - Cache both positive and negative discovery results for that month. 4. Parse official notice content. - Extract holiday ranges such as `1月1日至3日`. - Extract adjusted workdays such as `1月4日（周日）上班`. - Emit normalized rows with `date`, `is_holiday`, `is_workday`, `holiday_name`, and `source_url`. 5. Persist two layers separately. - Stable source mapping in `notice_urls` - Probe history in `discovery_cache` ## Rules - Do not use third-party holiday calendars as authoritative data. - Do not fabricate future-year schedules before an official notice exists. - If a future year has not been published yet, return no URL and cache that negative check for the month. - If a year is already present in local holiday storage, do not refetch the official notice unless the caller explicitly wants a refresh. ## References - For source priority, parsing regex patterns, and caching rules, read [references/official-notice-method.md](references/official-notice-method.md). ## Output Shape Normalize notice parsing results into a shape close to: ```json { "date": "2026-10-08", "is_holiday": false, "is_workday": true, "holiday_name": "国庆节调休上班", "source_url": "https://www.gov.cn/zhengce/content/202511/content_7047090.htm" } ```


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: monarchmio/agent-code-no7-contract-guardian (version 1.0.0)

# Agent-01: 合同卫士 Contract Guardian 专精合同审查与风险识别的AI特工，支持中英文合同智能解析，自动标注高风险条款并生成修改建议。 ## 能力 - 逐条分析合同条款，识别权利义务关系 - 重点识别高风险条款：违约责任、赔偿上限、竞业限制、保密义务、知识产权归属、不可抗力、争议解决、自动续约 - 对照相关法律法规检查条款合法性 - 与行业标准模板对比，标注偏离项 - 针对风险条款提供具体修改建议 ## 输出格式 每份合同审查报告包含： - 📋 合同基本信息摘要 - 🔴 高风险条款（需立即关注） - 🟡 中风险条款（建议修改） - 🟢 低风险/合规条款 - 📝 逐条修改建议 - 📊 综合风险评分（1-100） ## 使用指令 ``` 请审查以下合同： 【合同类型】：{类型} 【签约双方】：甲方 {甲方} / 乙方 {乙方} 【合同金额】：{金额} 【合同期限】：{期限} 【合同全文】： {粘贴合同内容} 请重点关注：{特别关注的条款} ``` ## 工作原则 - 严格基于合同文本分析，不做无根据推测 - 标注「本分析仅供参考，重大合同请咨询执业律师」 - 对模糊条款明确指出歧义所在 - 注意中英文合同的法律体系差异 ## System Prompt 你是一位资深合同审查律师，拥有15年合同法实务经验，代号 Agent-01 合同卫士。你隶属于 Agent Code No.7 AI特工局。 审查维度： 1. 主体资格：签约主体是否适格、是否需要授权 2. 条款完整性：必要条款是否齐全 3. 权利义务对等性：双方权利义务是否平衡 4. 风险条款识别：违约责任、赔偿上限、免责条款、争议解决 5. 合规性：是否符合现行法律法规 6. 可执行性：条款是否具有可操作性 输出时使用表格形式列出各条款的风险等级（高/中/低），对高风险条款提供具体修改建议，最后给出综合风险评分（1-100分，越低越安全）。


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: yinwuzhe/skill-0331-02 (version 1.0.6)

--- name: summarize description: Summarize URLs or files with the summarize CLI (web, PDFs, images, audio, YouTube). homepage: https://summarize.sh metadata: {"clawdbot":{"emoji":"🧾","requires":{"bins":["summarize"]},"install":[{"id":"brew","kind":"brew","formula":"steipete/tap/summarize","bins":["summarize"],"label":"Install summarize (brew)"}]}} --- # Summarize Fast CLI to summarize URLs, local files, and YouTube links. ## Quick start ```bash summarize "https://example.com" --model google/gemini-3-flash-preview summarize "/path/to/file.pdf" --model google/gemini-3-flash-preview summarize "https://youtu.be/dQw4w9WgXcQ" --youtube auto ``` ## Model + keys Set the API key for your chosen provider: - OpenAI: `OPENAI_API_KEY` - Anthropic: `ANTHROPIC_API_KEY` - xAI: `XAI_API_KEY` - Google: `GEMINI_API_KEY` (aliases: `GOOGLE_GENERATIVE_AI_API_KEY`, `GOOGLE_API_KEY`) Default model is `google/gemini-3-flash-preview` if none is set. ## Useful flags - `--length short|medium|long|xl|xxl|<chars>` - `--max-output-tokens <count>` - `--extract-only` (URLs only) - `--json` (machine readable) - `--firecrawl auto|off|always` (fallback extraction) - `--youtube auto` (Apify fallback if `APIFY_API_TOKEN` set) ## Config Optional config file: `~/.summarize/config.json` ```json { "model": "openai/gpt-5.2" } ``` Optional services: - `FIRECRAWL_API_KEY` for blocked sites - `APIFY_API_TOKEN` for YouTube fallback


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: meilihulee/modelpool-free (version 1.0.3)

--- name: modelpool-free description: "ModelPool (Free) — Free AI model manager for OpenClaw. One command to auto-discover free models, configure multi-key rotation for multiplied free quota, build smart fallback chains, and one-click repair model issues. v1.0.1: Fixed security patterns (removed shell=True, killall, /proc writes). Prepare your OpenRouter API key(s) before install (free at openrouter.ai) and say goodbye to model anxiety forever." license: MIT --- # 🎱 ModelPool (Free) — Free AI Model Manager for OpenClaw **One command. Unlimited free AI. No more rate limits.** Prepare your OpenRouter API key(s) before install (free at [openrouter.ai](https://openrouter.ai)), then: ```bash modelpool setup ``` ModelPool will auto-discover the best free models, configure multi-key rotation, and build a smart fallback chain. You'll never hit a rate limit again. ## Commands | Command | Description | |---------|-------------| | `modelpool setup` | **The one command you need** — interactive setup, enter keys, everything auto-configured | | `modelpool auto` | Auto-reconfigure with existing keys (non-interactive) | | `modelpool list` | Browse all free models ranked by quality score | | `modelpool switch <model>` | Manually switch primary model | | `modelpool status` | Show current config, keys, and fallback chain | | `modelpool repair` | **One-click fix** — diagnoses and repairs 7 common issues automatically | | `modelpool keys add <key>` | Add another OpenRouter key (more keys = more quota) | | `modelpool keys list` | Show all configured keys | | `modelpool refresh` | Force refresh model cache from API | ## How It Works ### Multi-Key Rotation Each OpenRouter key has independent rate limits. ModelPool distributes models across keys: - Key1: Model A, Model C, Model E - Key2: Model B, Model D, Model F When Key1 hits rate limit → auto-switch to Key2 → back to Key1 when cooldown ends. **2 keys = 2x quota. 3 keys = 3x quota. Simple math.** ### Smart Fallback Chain Models ranked by quality (context window × reasoning × benchmarks). Fallback alternates between keys for maximum uptime: ``` Request → Key1/StepFlash → ✅ Request → Key1/StepFlash → ❌ Rate Limited → Key2/StepFlash → ✅ (fresh key!) → Key1/Nemotron → ✅ (different model, same key) ``` ### One-Click Repair (`modelpool repair`) 7-step auto-fix: 1. Check Gateway process 2. Test each model API connectivity 3. Fix config (`openclaw doctor`) 4. Clean stuck sessions 5. Rebuild fallback chain (skip dead models) 6. Free memory & clean logs 7. Full restart ## Getting Started 1. Get free API key(s) at [openrouter.ai](https://openrouter.ai) (no credit card needed) 2. Run `modelpool setup` 3. Enter your key(s) 4. Done. Go code. ## Requirements - OpenClaw installed - Python 3.8+ - At least 1 OpenRouter API key (free)

path: scripts/modelpool_free.egg-info/dependency_links.txt
content: 


Security scan verdicts — ClawScan: suspicious | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (CRITICAL)
Skill: shidifu/web-search-skill (version 1.0.0)

--- name: web-search description: 联网搜索工具，通过百度和必应搜索引擎获取实时网络信息，无需API Key。当用户需要搜索网络信息、查找最新资讯、获取实时数据、或需要联网查询任何内容时使用此技能。适配中国网络环境。 --- # Web Search - 联网搜索技能 ## 概述 通过解析百度和必应(中国版)搜索结果页面，为Agent提供联网搜索能力。无需任何API Key，适配中国网络环境。 ## 依赖检查 首次使用前，确认依赖已安装： ```bash pip install requests beautifulsoup4 lxml -q ``` ## 核心用法 搜索脚本位于 `scripts/search.py`，通过命令行调用。 ### 基础搜索 ```bash python scripts/search.py "搜索关键词" ``` ### 指定搜索引擎 ```bash # 仅百度 python scripts/search.py "关键词" -e baidu # 仅必应 python scripts/search.py "关键词" -e bing # 全部引擎（默认） python scripts/search.py "关键词" -e all ``` ### 时间范围过滤 ```bash python scripts/search.py "关键词" -t day # 最近一天 python scripts/search.py "关键词" -t week # 最近一周 python scripts/search.py "关键词" -t month # 最近一月 python scripts/search.py "关键词" -t year # 最近一年 ``` ### 控制结果数量 ```bash python scripts/search.py "关键词" -n 5 # 每个引擎返回5条 ``` ### JSON格式输出 ```bash python scripts/search.py "关键词" -f json ``` ## 高级搜索语法 直接在关键词中使用搜索引擎原生高级语法： | 语法 | 说明 | 示例 | |------|------|------| | `site:` | 限定搜索站点 | `site:zhihu.com 机器学习` | | `filetype:` | 限定文件类型 | `filetype:pdf 深度学习教程` | | `"精确词"` | 精确匹配 | `"自然语言处理"` | | `-排除词` | 排除关键词 | `Python教程 -广告` | | `intitle:` | 标题包含 | `intitle:Python入门` | 组合使用：`site:github.com filetype:py web框架` ## Agent工作流程 当用户需要搜索信息时，按照以下流程操作： **Step 1: 分析搜索意图** 理解用户需要什么信息，构造合适的搜索关键词。如果用户的问题比较复杂，拆分为多次搜索。 **Step 2: 执行搜索** 使用Bash工具运行脚本。注意脚本路径应使用Skill所在目录的绝对路径： ```bash python ~/.qoderwork/skills/web-search/scripts/search.py "关键词" ``` Windows环境下： ```bash python %USERPROFILE%\.qoderwork\skills\web-search\scripts\search.py "关键词" ``` **Step 3: 分析结果** 阅读搜索结果，提取与用户问题相关的信息。如果结果不满意，可以： - 换个关键词重新搜索 - 切换搜索引擎 - 使用高级语法缩小范围 **Step 4: 深入获取（可选）** 如果需要更详细的内容，使用 WebFetch 工具访问搜索结果中的具体链接获取完整页面内容。 **Step 5: 整合回答** 基于搜索结果和获取的页面内容，整合出完整的回答，并注明信息来源。 ## 输出格式说明 默认文本格式输出示例： ``` 搜索: Python 最新版本 共 6 条结果 [1] Python 3.13正式发布 - Python官方博客 链接: https://blog.python.org/... 摘要: Python 3.13已于2024年10月发布，带来了新的交互式解释器... 来源: blog.python.org (bing) [2] Python最新版本下载 - 知乎 链接: https://www.zhihu.com/... 摘要: 目前Python最新稳定版为3.13.1... 来源: 知乎 (baidu) ``` ## 注意事项 - 脚本通过解析HTML页面获取结果，如果搜索引擎更新页面结构可能需要更新脚本 - 请求间有随机延迟(0.3-0.8秒)以避免触发反爬 - 百度返回的链接可能是跳转链接，需要通过WebFetch进一步访问获取真实URL - 每个引擎默认返回8条结果，可通过 `-n` 参数调整 ## 额外参考 使用示例和常见场景请参考 [examples.md](examples.md)


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector:  ()
Skill: dabendan2/kura-booking (version 1.0.0)

--- name: kura-booking description: 使用 e-pai-ke.com (E排客) 進行餐廳預約管理、叫號查詢、登入及取消訂位。適用於藏壽司等使用 E排客 系統的餐廳。 --- # E-Pai-Ke (E排客) Skill 本 Skill 用於自動化操作 E排客 (e-pai-ke.com) 進行餐廳的登入、尋找、查詢及預約管理。 ## 帳號資訊參考 - 登入資訊通常記載於 `e-pai-ke/notes.md`。 ## 操作流程 ### 1. 登入 (Login) 使用 `browser` 工具的 `evaluate` 行動注入 JS 進行登入，以避免表單填充失效： ```javascript const emailInput = document.querySelector('input[placeholder="電子郵件"]') || document.querySelector('input[type="text"]'); const passwordInput = document.querySelector('input[placeholder="密碼"]') || document.querySelector('input[type="password"]'); const loginButton = Array.from(document.querySelectorAll('button')).find(b => b.textContent.includes('登入')) || document.querySelector('.login_btn'); if (emailInput && passwordInput && loginButton) { emailInput.value = 'YOUR_EMAIL'; passwordInput.value = 'YOUR_PASSWORD'; loginButton.click(); } ``` ### 2. 尋找店鋪 (Search Shop) 1. 導航至 `https://e-pai-ke.com/`。 2. 在搜尋欄輸入店鋪名稱（如「藏壽司 土城金城路店」）。 3. 點擊進入店鋪詳情頁。 ### 3. 查詢叫號與狀態 查看店鋪頁面中「指定時間預約」與「預約未到候補」的「現在叫號」及「最快可候位時間」。 ### 4. 執行預約 (Booking) 1. 點擊「預約」按鈕（`.res_btn`）。 2. 在 Dialog 中依序：選取日期 -> 選取時段 -> 選擇人數 -> 點擊「內容確認」直至顯示預約成功及候位號碼。 ### 5. 取消預約 (Cancel) 1. 導航至 `https://e-pai-ke.com/reservationA`。 2. 找到目標預約紀錄，點擊「取消」並於彈窗中點擊「確認取消」。 ## 故障排除與 Playwright 自動化 若內建 `browser` 工具不穩定或出現逾時，建議使用 Playwright 獨立腳本進行操作。 ### 1. 取消預約腳本範例 (`cancel_kura.js`) ```javascript const { chromium } = require('playwright'); (async () => { const browser = await chromium.launch({ headless: true }); const context = await browser.newContext(); const page = await context.newPage(); // 1. 登入邏輯 (參考 e-pai-ke/notes.md) // 2. 導航至 https://e-pai-ke.com/reservationA // 3. 定位預約卡片並點擊「取消」與「確認取消」 await browser.close(); })(); ``` ### 2. 優點 - **穩定性**: 獨立進程執行，不受內建工具逾時限制。 - **精準定位**: 可使用 Playwright 強大的 `locator` 配合 `hasText` 進行複雜條件過濾，避免誤刪或找不到元素。 - **視覺調試**: 可隨時加入 `page.screenshot()` 捕捉失敗畫面。 ## 錯誤偵測 - **時段額滿**: `button` 帶有 `[disabled]` 屬性。 - **提示訊息**: 檢查頁面是否出現 `該時段尚未開放候位或候位名額已滿` 或 `每個帳號每次僅能預約一筆`。


Security scan verdicts — ClawScan: suspicious | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: wingogx/ecommerce-ad-copy-generator-free (version 1.0.0)

--- name: ecommerce-ad-copy-generator-free description: Free basic version of ecommerce ad copy generator. Generates 3 ad copies from product info, and reserves premium upgrade hooks for 10-copy batch generation and A/B variants. --- # Ecommerce Ad Copy Generator (Free) ## Value - Free tier: generate 3 ad copies for Facebook/Google/TikTok. - Premium tier (reserved): 10-copy batch, multi-language output, and A/B variants. ## Input - `user_id` - `product_name` - `selling_points` (list or delimited string) - `target_audience` - optional `tier` (`free`/`premium`) ## Run ```bash python3 scripts/ecommerce_ad_copy_generator_free.py \ --user-id user_001 \ --product-name "CloudBoost" \ --selling-points 智能出价 多平台同步 分钟级报表 \ --target-audience "跨境电商运营" ``` ## Tests ```bash python3 -m unittest scripts/test_ecommerce_ad_copy_generator_free.py -v ``` ## Freemium Strategy - Free tier is fully available now. - Premium API hook is reserved and returns upgrade guidance with payment link.


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: suspicious (CRITICAL)
Skill: liuyanfeng1234/v19-trust-engine (version 1.0.0)

--- name: v19-trust-engine description: V19信任计算引擎 — V19能力矩阵首个能力型Skill。包含信任分四维度计算（基础分/活跃衰减/审计通过率/Skill约束遵从度）、VPAV关卡验证（一次等效15次普通调用）、认证门槛（60分基础认证）。公开密钥体验 + 自助注册入口。 version: 1.0.0 author: 思维 (Bacon) --- # V19 Trust Engine v1.0.0 V19能力矩阵中第一个**能力型Skill**——不只是一个Agent的认证流程，而是让任何外部Agent理解V19**如何计算信任、如何验证能力**的引擎说明书。 ## 信任分四维度计算 V19信任分（Trust Score, 0-100）由四个维度加权合成： | 维度 | 权重 | 描述 | 示例 | |------|------|------|------| | **基础分** | 30% | Agent注册即获得的基础信用，由注册方式（公开密钥/自助注册/邀请）决定 | 自助注册: 15分 | | **活跃衰减** | 20% | 调用频率与时间衰减。12h无调用开始衰减，7天静默归零 | ARI审计节律指数监控 | | **审计通过率** | 30% | 所有 `/governance/audit` 调用的 PASS/FAIL 比率 | 墨言: 100% | | **Skill约束遵从度** | 20% | 加载的Skill Manifest声明与实际工具调用的一致性 | VPAV验证此维度 | ### 计算公式（简化） ``` trust_score = 0.30 × base_score + 0.20 × max(0, activity_score - decay_penalty) + 0.30 × (audit_passed / audit_total × 100) + 0.20 × constraint_compliance ``` ### 认证门槛 | 分数 | 状态 | 权益 | |------|------|------| | 0-39 | 未认证 | 公开密钥只读 | | 40-59 | 认证冲刺中 | 专属Pro密钥 + 审计 | | 60+ | **已认证** ✅ | 基础认证徽章 + 治理看板展示 | | 80+ | 高级认证 | VPAV白盒报告 + 决策规则提炼 | ## VPAV关卡验证 **VPAV（Verified Procedure-Action Validation）** 是信任引擎的核心加速机制： - **一次VPAV验证 = 等效15次普通审计调用** - 验证内容：工具调用序列与Skill Manifest声明的一致性 - 输出：白盒审计报告（决策规则提炼 + 稀疏度评分） - 墨言路径：三轮VPAV全通过 → 等效93次调用 → 信任分60.0 ### 验证流程 ``` Agent加载Skill → VPAV抓取Manifest声明的能力集 → Agent执行标准测试序列 → VPAV逐条验证"声明了什么"与"实际调用了什么" → 输出: PASS + 等效15次调用 或 FAIL + 修正建议 ``` ## 认证衰减引擎 信任分不是一成不变的： - **12小时心跳制**：每12h至少一次审计调用，维持活跃状态 - **衰减曲线**：活跃度低于阈值 → 信任分按指数衰减 - **ARI审计节律指数**：三档分级（正常/需关注/危险），替换旧二元判断 - **静默超时**：连续7天无调用 → 信任分自动归零，需重新注册 ## 公开体验 ```bash # 健康检查（公开密钥） curl -s https://boat-atlas-spa-flexible.trycloudflare.com/governance/health \ -H "X-Governance-Key: v19-e5d585e28439decc614f09f91c4caa8c" # 查看信任分（需专属密钥） curl -s https://boat-atlas-spa-flexible.trycloudflare.com/governance/trust-score \ -H "X-Governance-Key: <你的专属密钥>" ``` ## 自助注册 ```bash curl -s -X POST https://boat-atlas-spa-flexible.trycloudflare.com/governance/register \ -H "Content-Type: application/json" \ -d '{"agent_name":"你的Agent名称"}' ``` 系统自动返回专属Pro密钥，重名自动拒绝。注册即获得基础分15分。 ## 信任锚点 - 🔗 [V19 Trust Manifesto](https://clawhub.com/skills/v19-trust-manifesto) — 协议公开受信声明 - 🔗 [V19 Certified Agent Workflow](https://clawhub.com/skills/v19-certified-agent-workflow) — Agent认证全流程 - 🔗 治理看板: `https://boat-atlas-spa-flexible.trycloudflare.com/governance/dashboard`


Security scan verdicts — ClawScan: clean | static analysis: clean | VirusTotal: clean | SkillSpector: clean (LOW)
Skill: kevinchai3868/token-guard-model-switch (version 1.0.0)

--- name: token-guard-model-switch description: "主動監控 Token 使用率與上下文壓力，防止對話中斷並自動引導切換至備援模型。" metadata: version: "1.1.0" openclaw: requires: bins: ["node"] config: threshold_warning: 0.85 threshold_critical: 0.95 model_pool: fast: ["gpt-4o-mini", "claude-3-haiku", "gemini-1.5-flash"] quality: ["gpt-4o", "claude-3-5-sonnet", "gemini-1.5-pro"] backup: ["local-llama-3"] --- # Token Guard + Model Switch 運作規範 ## [權限準則] 優先執行本地工具 1. **禁止自動聯網**：執行監控任務時，嚴禁調用 `web_search` 或 `brave_search` 等需要外部 API 的工具。 2. **本地腳本優先**：當需要獲取狀態或執行運算時，必須優先調用 `C:\Users\user\.openclaw\skills\token-guard-model-switch\scripts\` 目錄下的腳本。 ## [監控階段] 狀態檢查 在執行任務的關鍵節點，或感覺回應變短、系統變慢時，你必須主動確認狀態： 1. 執行 `/status` 或 `/usage tokens`。 2. **[自動化工具]** 調用本地 `node scripts/monitor.js <current> <max> <model>`。 3. 計算：`ratio = current_tokens / max_context_window`。 --- ## [觸發階段] 風險評估 當比值符合以下狀況，立即介入： - **警告 (Ratio > 0.85)**: 準備提示使用者，並建議執行 `/compact`。 - **緊急 (Ratio > 0.95 或 收到 Quota 錯誤)**: 必須暫停當前任務，優先進行模型切換或硬性壓縮。 --- ## [觸發後的提醒訊息格式] 當觸發時，請從以下模型池挑選最適合的填入模板，並使用以下格式回報： **當前建議模型池 (2026 基準):** - **快速型 (Fast):** `gpt-5-instant`, `gemini-3-flash`, `claude-4.5-haiku` - **高品質 (Quality):** `gpt-5.3-codex`, `claude-4.6-opus`, `gemini-3-pro` - **備援/私有 (Local):** `llama3.2:3b`, `deepseek-v2.5`, `qwen2.5:7b` (使用 Ollama) --- ### 🛡️ Token Guard 狀態回報 **【風險等級：緊急 (Critical) 🔴】** - **目前狀態：** 雲端 API 額度耗盡 / 連線中斷 - **處置建議：** 立即切換至本地運作以維持任務不中斷。 **請選擇處置方案：** 1. **[等待]** 稍後重試雲端 API。 2. **[切換本地]** 使用 Ollama 啟動：`llama3.2:3b` (快速)。 3. **[強大本地]** 使用 Ollama 啟動：`deepseek-v2.5` (適合寫程式)。 4. **[隱私模式]** 切換至 `qwen2.5:7b`。 --- ## [使用流程] 一旦使用者選定（例如選擇 2）： 1. **第一步：** 執行 `/compact` (確保歷史記錄已總結)。 2. **第二步：** 使用 `sessions.patch` 或對應工具修改當前 Session 的 `model` 參數。 3. **第三步：** 執行 `/status` 確認切換成功。 4. **第四步：** 恢復原本任務，並告知：「已完成無縫切換，請檢閱上述狀態。」 --- ## 安全與隱私規範 - **禁制：** 嚴禁要求使用者提供 API Key 或敏感資訊。 - **透明：** 若系統自動切換（如偵測到 429 錯誤且有預設備援），必須明確告知使用者「為何切換」以及「切換到了哪裡」。 - **最小權限：** 若需要供應商用量查詢，只讀取環境變數（ENV）並只回報「剩餘比例/區間」，不回傳敏感原始值。


Security scan verdicts — ClawScan: suspicious | static analysis:  | VirusTotal:  | SkillSpector: suspicious (MEDIUM)