🔍 风险洞察
龙虾悖论：当10%的Skills藏着恶意代码，我们该如何养虾？
安全成了这个生态里最值钱的词：每十个龙虾 Skill 就有一个在偷东西，谁解这道题谁收钱。
新华网报道，研究人员分析 ClawHub 上 3,016 个 Skills，336 个含恶意代码，占 10.8%。同时「卸龙虾」开始流传，有人收到几万块的 API 账单，有人密钥被盗、丢了本地文件。
对创业者：别做又一个 Skill，做 Skill 的体检站——上架前扫描、权限最小化、账单熔断，这三样现在没人做全。对投资人：钱放在安全审计与合规工具，别放内容型 Skill 市场；估值上把「装机量」降权，换成「拦截了多少次越权调用」。昨天的 NemoClaw 和今天这份报告说的是同一件事。
爆发让问题浮出水面，能解决问题的人拿走下一轮。
来源：新华网近日报道转述的第三方研究，ClawHub 上 3,016 个 Skills 插件中 336 个含恶意代码、占比 10.8%；原始研究方、抽样方法与判定标准未在报道中说明，作者未独立复核｜口径注：「含恶意代码」由原研究定义，与「已造成实际损失」不是一回事；「几万块的 API 账单」「密钥被盗、丢本地文件」是社区流传的个案，不是统计结果；「卸龙虾」为社区自发说法，无量化数据；「木马钓鱼、流氓软件、恶意 Skill 是同一规律」为作者的历史类比，不构成证据｜证伪口：本条未设可裁定的阈值与时限；若原始研究公布完整方法论后恶意占比显著低于 10.8%，将在日记中更正｜利益披露：天际资本正在 Agent 安全审计与合规工具方向主动寻找标的，作者持看多立场｜本日记不构成对任何基金产品的推介或募集要约。