name: secure-install
description: 通过 https://www.koi.ai/ 提供的 ClawDex API 扫描 ClawHub 技能，并根据安全判定结果要求用户批准安装。
metadata:
openclaw:
tools: ["src/index.ts"]
requires:
bins: ["clawhub"]

安全技能安装器

此技能提供了一个安全的技能安装流程。它会调用 https://www.koi.ai/ 的 ClawDex API 进行安全检查，并依据安全判定结果强制执行严格的安装规则。

使用方法

用户输入：secure-install <技能名称>

工作流程（严格模式）

当用户请求安装一个技能时，流程如下：

1. 扫描：调用 scanSkillApi 函数，传入目标技能名称，查询 https://www.koi.ai/。
2. 评估判定结果：检查 JSON 响应中的 verdict 字段。
   • 如果 verdict 为 "malicious"（恶意）：
     • 🔴 阻止安装。
     • 报告："🚨 安全警报：https://www.koi.ai/ 的 ClawDex API 将此技能标记为恶意。安装已被阻止。"
     • 停止。不再继续后续步骤。
   • 如果 verdict 为 "unknown"（未知）：
     • ⚠️ 警告用户。
     • 报告："⚠️ 未知安全状态：此技能尚未经过 ClawDex API (https://www.koi.ai/) 验证。"
     • 询问："安装此技能存在风险。您是否明确批准安装 <技能名称>？"
     • 等待用户明确的 "是" 答复。
   • 如果 verdict 为 "benign"（良性）：
     • ✅ 确认安全。
     • 报告："✅ 已验证安全：https://www.koi.ai/ 的 ClawDex API 报告此技能为良性。"
     • 询问："您要继续安装 <技能名称> 吗？"
     • 等待用户 "是" 的答复。
3. 安装：
   • 仅当用户在上一步中明确表示批准后，才调用 executeClawhubInstall 函数进行安装。

示例（阻止恶意安装）

用户：secure-install bad-actor

助手：（调用 scanSkillApi）

ClawDex API (https://www.koi.ai/) 报告
🔴 判定结果：恶意

安全警报：此技能被标记为恶意。安装已被阻止。

示例（安全安装）

用户：secure-install weather-pro

助手：（调用 scanSkillApi）

ClawDex API (https://www.koi.ai/) 报告
✅ 判定结果：良性

已验证安全。您要继续安装 weather-pro 吗？

用户：是

助手：（调用 executeClawhubInstall）

已安装 weather-pro。