---
title: Skills供应链管控，只安装官方维护的内置技能
description: "只安装官方维护的内置技能，安装前审查SKILL.md和代码逻辑。"
url: https://www.hikunpeng.com/document/detail/zh/kunpengcctrustzone/tee/cVMcont/kunpengtee_zjsj_openclaw_055.html
sourcePath: /source/zh/kunpengcctrustzone/tee/cVMcont/kunpengtee_zjsj_openclaw_055.html
indexId: 94697f82c8226856801d7852c22b1dec3506af7c31cfe8eb330883f01179672875
---
# Skills供应链管控，只安装官方维护的内置技能

只安装官方维护的内置技能，安装前审查SKILL.md和代码逻辑。

| 官方来源 | 地址 | 说明 |
| --- | --- | --- |
| ClawHub官方仓库 | https://clawhub.ai/ | 唯一官方技能市场，所有第三方镜像站均非官方。 |
| 内置Skills | OpenClaw自带 | 无需安装，开箱即用。 |
| GitHub官方组织 | github.com/openclaw | 官方维护的Skill仓库。 |


官方仓库只有一个https://clawhub.ai/(https://clawhub.ai/)。任何其他类似openclawSkills.best的网站均为第三方镜像站，是恶意Skill的主要来源。


警惕包含curl、wget、网络请求、命令执行的Skills，敏感任务建议本地编写Skills，确保代码主权。

| 类别 | 危险行为 | 伪装常见名称 |
| --- | --- | --- |
| 凭证窃取类 | 读取~/.ssh、~/.aws、浏览器密码、API Key并外传。 | "ssh\-manager"、"aws\-helper"、"key\-manager" |
| 文件删除类 | 执行rm \-rf、删除系统文件、破坏启动项。 | "cleaner"、"disk\-free"、"temp\-clean" |
| 后门植入类 | 创建隐藏用户、开放反向Shell、安装远控。 | "remote\-assist"、"ssh\-tunnel" |
| 挖矿程序类 | 静默下载挖矿程序、占用CPU/GPU资源。 | "system\-optimizer"、"cpu\-boost" |
| 数据外传类 | 打包隐私文件上传至未知域名服务器。 | "backup\-tool"、"sync\-helper" |
| AI投毒类 | 修改SOUL.md、IDENTITY.md，篡改AI人格。 | "personality\-enhancer"、"soul\-editor" |
| 权限提升类 | 尝试sudo、提权操作、修改系统配置。 | "admin\-helper"、"system\-config" |
| 网络攻击类 | 扫描内网、攻击其他服务器、发DDoS。 | "network\-scanner"、"port\-check" |


#### 操作步骤

要禁用第三方技能，需要组合使用策略。

1. 配置skills.allowBundled，只有列表中的内置技能才有资格被加载，其他内置技能会被忽略。

  - 方式一：

```
openclaw config set skills.allowBundled '["gog", "github", "weather", "clawhub", "healthcheck"]'
```


  - 方式二

    a. 打开配置文件。

```
vim
~
/.openclaw/openclaw.json
```


    b. 按“i”进入编辑模式，配置skills.allowBundled。

```
{
"skills": {
"allowBundled": [
"gog",
"github",
"weather",
"clawhub",
"healthcheck"
]
}
}
```


    c. 按“Esc”键退出编辑模式，输入:wq!，按“Enter”键保存并退出文件。
2. 清空外部技能加载目录。

  a. 打开配置文件。

```
vim
~
/.openclaw/openclaw.json
```


  b. 按“i”进入编辑模式，配置skills.load。

```
{
"skills": {
"load": {
"extraDirs": [],
"watch": false
}
}
}
```


  c. 按“Esc”键退出编辑模式，输入:wq!，按“Enter”键保存并退出文件。
3. 同时删除现有第三方技能目录。

  a. 清空本地技能目录。

```
rm -rf
~
/.openclaw/skills/*
```


  b. 清空工作区技能目录（若存在）。

```
rm -rf <workspace>/skills/*
```