openclaw-skill-vetter-mcp은(는) 무엇을 하나요?
서드파티 AI 에이전트 확장 기능(Claude 스킬, 플러그인, 도구 팩)을 설치 전에 보안 검증하는 MCP 서버입니다. 프롬프트 인젝션, 데이터 유출, 동적 실행, 타이포스쿼팅 등 41가지 탐지 규칙을 통해 0-100 위험 점수를 제공합니다.
개요
OpenClaw Skill Vetter MCP는 AI 에이전트 환경(Claude Code, Cursor, Codex 등)에서 사용되는 서드파티 확장 기능의 보안 위험을 평가하고 관리하기 위한 MCP(Model Context Protocol) 서버입니다. 이 도구는 특히 신뢰할 수 없는 출처의 스킬과 플러그인이 에이전트 워크플로우에 도입되기 전에 잠재적인 위협을 식별하는 데 중점을 둡니다.
주요 기능
- 41가지 탐지 규칙: 프롬프트 인젝션, 데이터 유출, 동적 실행, 타이포스쿼팅, 의심스러운 권한 요청 등 다양한 위협 벡터를 포괄합니다.
- 위험 점수: 0(안전)에서 100(매우 위험)까지의 점수로 확장 기능의 위험 수준을 정량화합니다.
- 설치 전 검증: 확장 기능이 에이전트 환경에 설치되기 전에 사전 보안 검사를 수행합니다.
- 지속적 모니터링: 이미 설치된 확장 기능을 주기적으로 다시 검사하여 변경 사항(예: 업데이트나 수정)을 감지하고 위험 점수를 재계산합니다.
- OpenClaw 통합: OpenClaw 생태계와 완벽하게 호환되며, 다른 MCP 호환 도구와 함께 사용할 수 있습니다.
사용 방법
MCP 클라이언트 설정
claude_desktop_config.json 또는 .cursor/mcp.json 파일에 다음 구성을 추가하세요:
{
"mcpServers": {
"skill-vetter": {
"command": "npx",
"args": ["-y", "@temurkhan13/openclaw-skill-vetter-mcp"],
"env": {
"OPENCLAW_API_KEY": "your-api-key-here"
}
}
}
}
도구 사용
MCP 서버가 실행되면 다음 도구를 사용할 수 있습니다:
vet_skill- 단일 스킬 또는 확장 기능을 검증합니다.scan_directory- 디렉토리 내 모든 확장 기능을 스캔합니다.get_risk_report- 특정 확장 기능의 상세 위험 보고서를 가져옵니다.
CLI 명령어 예시
# 단일 스킬 파일 검증
openclaw-vet check ./path/to/skill.yaml
# 디렉토리 스캔
openclaw-vet scan ./skills/
# 위험 보고서 생성
openclaw-vet report --format json
환경 변수
| 변수명 | 설명 | 필수 여부 |
|---|---|---|
OPENCLAW_API_KEY | OpenClaw API 키 | 예 |
SKILL_VET_LOG_LEVEL | 로그 레벨 (기본값: info) | 아니오 |
SKILL_VET_CACHE_DIR | 캐시 디렉토리 경로 | 아니오 |
탐지 규칙 예시
- 프롬프트 인젝션:
ignore previous instructions와 같은 패턴 탐지 - 데이터 유출: 환경 변수나 파일을 외부로 전송하는 코드 탐지
- 동적 실행:
eval(),exec(),child_process.exec()등 위험한 함수 사용 탐지 - 타이포스쿼팅: 유명 패키지 이름과 유사한 의심스러운 패키지 탐지
라이선스
MIT
기여
버그 리포트, 기능 제안, 풀 리퀘스트는 GitHub 저장소를 통해 환영합니다. 보안 취약점은 코드를 통해 직접 보고해 주세요.