01. Три режима отказа: установка на daily driver, доверие по звёздам, тихий egress

Первый режим: запуск там, где уже лежат корпоративный SSO, браузерные сессии и ~/.ssh. Skills нередко тянут shell-hooks, file watchers и вспомогательные бинарники. Любой злонамеренный или небрежный пакет наследует окружающую авторизацию. Технически корректный ответ — не уменьшать модель, а перенести пробную установку на одноразовый macOS-профиль с синтетическими фикстурами данных.

Второй режим: принимать звёзды ClawHub за эквивалент аудита. Популярность коррелирует с UX, не с гарантией. Без карты мейнтейнеров, без закреплённого коммита и без diff-ревью вы принимаете плавающие зависимости, меняющие поведение между рестартами Gateway. Сочетайте пакеты Hub с immutable-тегами и внутренними зеркалами, если политика это требует.

Третий режим: тихий исходящий трафик и confused deputy. Skill с curl, сокетами или spawn subprocess может эксфильтровать фрагменты репозитория или токены при prompt injection. Нужны egress allowlist, отдельные API-ключи с жёсткими квотами и логи, где каждому вызову сопоставлены имя Skill, версия, канал.

Четвёртый вектор: prompt injection как lateral movement. Достаточно права читать произвольные файлы рабочей области — внешнему актору не обязателен классический RCE. Отсюда deny-by-default на чтение и запрет смешивать высокоценные репозитории с экспериментальными Skills в одном профиле Gateway.

Пятый вектор: неясность RACI. Если ни security, ни platform не владеют одобрением Skills, скорость продукта побеждает, а инцидент превращается в перекладывание ответственности. Назначьте владельца, заместителя и SLA календаря до того, как ClawHub попадёт во внутреннюю базу знаний.

02. ClawHub против git: матрица доверия и полномочий

Используйте таблицу на design review; исполнение остаётся в рамках change management организации. Матрица не заменяет threat modeling, но отсекает грубые ошибки при сравнении «официально» опубликованного пакета с анонимным форком.

Сигнал	Пакет ClawHub	Случайный git-fork
Прослеживаемость мейнтейнера	Профиль издателя и документированный install path в консоли	Ручная привязка к людям и организациям
Закрепление версии	Дружит с тегами; проверяйте lockfile	Ветки двигаются; фиксируйте SHA или внутренний fork
Радиус полномочий	Зависит от манифеста и локальной политики; песочницы «из коробки» нет	То же — считать враждебным до ревью

Если происхождение сомнительно, рациональный исход — отложить или зеркалировать с обязательным diff, даже если публичная демо была эффектной. Для операторов полезно заранее зафиксировать критерии «достаточно доказательств» в том же тикете, где лежит манифест.

03. Триаж симптомов до обвинения модели

Симптом	Вероятная причина	Первое действие
Новый исходящий хост в логах FW сразу после enable Skill	Встроенный HTTP-клиент или автообновление	Выключить Skill, diff дерева установки, PCAP на лабораторном Mac
Gateway запрашивает Keychain или файлы вне заявленного scope	Hook зарегистрирован шире манифеста	Отдельный пользователь macOS, ужесточить TCC, открыть инцидент
Одинаковый промпт ведёт себя иначе без смены модели	Автообновление Skill или дрейф зависимости	Закрепить версии, зеркалировать tarball, сравнить хэши

Симптомы смещают фокус на слой инструментов. Если Skill оборачивает MCP-сервер, согласуйте ворота одобрения с базовой линией из статьи MCP подключение и безопасность, иначе получите два противоречивых UX согласия на одну и ту же операцию.

04. Семь шагов burn-down от манифеста до разборки

Инвентаризация поверхностей: пути чтения, allowlist subprocess, переменные окружения, заявленные утилиты. Расплывчатый манифест ⇒ классификация high risk до патча upstream.
Заморозка метаданных: build OpenClaw, commit Gateway, тег или SHA Skill, ревьюер, scope канала — один тикет, без устных передач.
Лабораторная идентичность: эфемерный macOS или аренда без корпоративных SSO-профилей; только синтетические данные, не продовые БД.
Установка под логированием: stdout и stderr, записи в /tmp, признаки персистентности уровня launchd. Сверяйте с потоком консоли из руководства по Skills и консоли.
Дымовые промпты: бенигн, граничный путь файла, адверсариальный system prompt. Ожидайте отказ или ошибку с узкой областью, не silent success с расширением прав.
Согласование с MCP: если Skill оборачивает MCP, выровняйте approval gates с MCP security baseline; дублирующие пути согласия дезориентируют дежурных.
Аттестация разборки: отозвать временные ключи, удалить рабочие деревья, убрать записи Gateway, сохранить SHA-256 одобренных артефактов. Гигиену диска после аренды см. в FAQ посуточной аренды SSH и VNC.

# Пример: контрольные суммы дерева Skills до и после enable
shasum -a 256 -r ./skills/<vendor>/<skill>/** | sort > before.txt
# включить Skill, прогнать дым, затем:
shasum -a 256 -r ./skills/<vendor>/<skill>/** | sort > after.txt
diff -u before.txt after.txt

Блокнот ревьюера: один Markdown на Skill с разделами Threat model, Test evidence, Residual risk, Owner. Аудиторы получают датированный PDF, а не реконструкцию из памяти. Хэши транскриптов привязывайте к тикету для воспроизводимости при текучке кадров.

Календарь включения: избегайте пятницы поздно вечером; ночной неизвестный домен требует дежурства, понимающего Gateway. Согласуйте окна с владельцами консоли по материалу консоли 3.24, чтобы апгрейды не пересеклись с ревью.

05. Метрики, которые реально цитируют в security review

Метрика 1: во внутренних выборках инцидентов macOS вокруг агентов порядка 38–55 % эскалаций «пугающее поведение» связаны с сторонними плагинами, Skills или MCP-мостами, а не с весами модели — инвентаризация и pin версий чаще снижают шум быстрее, чем температура сэмплирования.
Метрика 2: медианная пропускная способность формального ревью нового Skill в прод — около 12–40 дискретных проверок (манифест, карта сети, классы данных, rollback), что при серьёзном подходе даёт 90–180 минут ревьюера; более короткие циклы почти всегда означают пропущенную валидацию egress.
Метрика 3: команды, выделяющие одну эфемерную macOS-сессию на вендора, сообщают примерно на 25–35 % меньше повторных инцидентов из-за случайного reuse учётных данных по сравнению с командами на личных ноутбуках (внутренний опрос, ориентир планирования, не нормативное утверждение).

Если Skills дергают поисковые провайдеры, изолируйте конфигурацию из статьи Brave Tavily и Doctor от несвязанных API-бюджетов: всплески квот становятся явной тревогой, а не загадочными 429.

06. Supply chain, пересечение с MCP, операционная дисциплина

Skills — это тот же класс артефактов, что и CI-плагины: JSON, YAML, shell, Node, Python, Swift-хелперы. Относитесь как к deployable code с SBOM-дисциплиной уровня критичной GitHub Action. Зеркалируйте tarball во внутреннее object storage, прогоняйте через существующий SCA, запрещайте latest в прод-неймспейсах. Где OpenClaw одновременно показывает Hooks и Skills, явно фиксируйте владельца идемпотентности и ретраев — дубли триггеров дают двойной списание API или дубликаты записей в CRM.

Пересечение с MCP требует RACI: если Skill и MCP-сервер достигают одной БД, вы создаёте confused deputy с двумя поверхностями согласия. Выберите основной gate, второй сделайте тонкой обёрткой. Для секретов шлюза и истории shell на shared bastion следуйте SecretRef и политике токенов, чтобы пробные ключи не оседали в интерактивной истории.

Логи обязаны содержать skill name, version, channel, correlation id на исходящий вызов; иначе IR превращается в grep по строкам «assistant». Для executive demo клонируйте одобренный bundle на витринный Mac вместо экспериментальных Skills на профиле с клиентскими выгрузками.

Отрепетируйте rollback: деинсталляция, очистка кэша Gateway, шаблоны коммуникации пользователям. Пять минут репетиции дешевле выходных с образами дисков, потому что никто не задокументировал, кто трогал /usr/local.

OAuth и браузерные профили: Skills с интерактивной аутентификацией не должны наследовать дефолтный браузерный профиль на shared laptop. На арендованном Mac — throwaway profile, отключить синхронизацию паролей, отозвать токены сразу после capture. Зафиксируйте redirect URI для последующего поиска typosquatting.

Data residency: если промпты могут содержать персональные данные ЕС, сопоставьте каждый subprocess и бинарь с юрисдикцией. Эфемерный macOS в «не той» стране ломает соглашения о обработке даже при compliant LLM endpoint — снапшоты диска и crash reports не читают ваши слайды.

Red team паттерны: (a) Skills, тянущие «документацию» с URL автора и меняющие полезную нагрузку динамически; (b) полиглоты, выглядящие как Markdown; (c) dependency confusion частного имени пакета. Playbook: hash-locked vendor tarballs и offline diff для minor semver, не только major.

Коллаборация: в паре на репетиции Skill используйте screen sharing вместо копирования API-ключей в чат. Ротируйте любой ключ, касавшийся мессенджера, даже «внутреннего».

Промоушен в прод: критерии должны включать max outbound endpoints, max token lifetime, approved model providers. Расхождение песочницы и прода по любой оси означает, что вы скопировали JSON, а не промоутили контур.

Письмо вендору: запросите подписанную записку: subprocesses, механизм обновления, retention, санитизация аргументов. Расплывчатые ответы ⇒ внутренний fork или блок; надежда не является контролем.

Observability: структурированные JSON-строки в SIEM с полями skill_id, skill_version, tool_name. Коррелируйте всплески с deploy events, отделяя регрессию от злоупотребления.

Human factors: инженеры доверяют «официальному» UI. ClawHub-стилистика не гарантия. Квартальные разборы: бенигн Skill рядом с намеренно перепривилегированным — учите читать манифест, а не иконку.

Долгая поддержка: квартально пересчитывайте хэши upstream даже при неизменном semver — репаки без релиза случаются. Молчаливую смену tarball трактуйте как supply-chain инцидент до обратного доказательства.

Страховой нарратив: андеррайтеры спрашивают про инвентаризацию agent plugins. Пакет одобрения с хэшами, ревьюерами и транскриптами тестов отвечает быстрее скриншотов.

Executive one-pager: одобренные Skills, владельцы, даты renewal, владельцы kill-switch. Советы терпят эксперименты при явном выключателе; не терпят «чёрный ящик».

Корреляция с моделью угроз: фиксируйте для каждого Skill явные предположения: кто является актором (внешний конкурент, инсайдер, компрометированный npm-аккаунт), какие активы находятся в зоне досягаемости, какие детекторы сработают при аномалии egress. Без такой строки в тикете ревью превращается в чеклист ради чеклиста. Связывайте модель угроз с политикой каналов: если Skill доступен из публичного чата, порог доказательств должен быть выше, чем для внутреннего orchestration-канала с MFA.

Криптографические материалы на хосте: даже «безобидный» Skill может попытаться прочитать цепочки доверия, ключи подписи кода или артефакты CI. На эфемерном Mac отключайте ненужные корневые сертификаты, не монтируйте корпоративные SMB с секретами, не копируйте .p12 без крайней необходимости. Если тест требует подписи, используйте отдельный Apple ID разработчика и отозвите provisioning profile после сессии.

Производительность как сигнал компрометации: внезапный рост CPU или сетевого фона после enable часто быстрее заметен, чем тонкая эксфильтрация в логах приложения. Задайте baseline до установки и сравните после дымовых промптов; отклонения без объяснения в changelog версии заслуживают блокировки до разбора. Этот приём дополняет, но не заменяет, статический анализ и сетевые allowlist.

Версионирование промптов и политик: храните рядом с одобренным Skill не только хэш артефакта, но и версию системного промпта и политики инструментов Gateway. Иначе воспроизводимость ломается без смены кода Skill: модель начинает интерпретировать те же capability declarations иначе. Для поисковых инструментов версионируйте также конфигурацию из Brave Tavily и Doctor, чтобы квоты и фильтры не «плыли» незаметно.

Интеграция с процессом уязвимостей: когда публикуется CVE в зависимости Skill, ваш runbook должен знать, кто решает: автообновление, внутренний патч, временное отключение. Свяжите это с консольным контуром из руководства Skills и консоли и с MCP-контуром из статьи MCP и безопасности, чтобы не оказалось двух независимых «истин» о включённых инструментах.

Юридический след: если Skill обрабатывает персональные данные или коммерческую тайну контрагента, приложите к одобрению ссылку на DPIA или эквивалент и перечень субпроцессоров. Эфемерный хост в нужной юрисдикции снижает правовой риск, но не отменяет документирование потоков данных в сторону LLM-провайдера и вспомогательных HTTP-endpoints пакета.

Доверие к каналу: фиксируйте, из какого чата пришло одобрение; публичные каналы требуют более жёстких артефактных доказательств, чем закрытые оркестраторы с MFA.

07. Когда эфемерный macOS на выделенном железе выигрывает

Прототип на старом MacBook или hardening VM возможен, но типичная цена — неполная GUI-паритетность, капризные USB или Bluetooth стеки для девайс-тестов и соблазн переиспользовать личные API-ключи. Чистые контейнеры хуже воспроизводят реальный контур OpenClaw на Apple silicon с настоящими TCC-prompt.

Для серьёзной репетиции нативный macOS на выделенном железе остаётся ближайшим к прод-поведению; краткосрочная аренда снижает CapEx и даёт проверяемую security-историю: инстанс можно уничтожить после фиксации хэшей и логов. При этом чисто локальный прогон на привычном ноутбуке полезен для функционального понимания; он ломается, когда нужно доказать отсутствие утечки секретов или смоделировать чистый пользовательский профиль — тогда Keychain и браузерные сессии искажают выводы.

Когда цель — операционное доказательство, а не быстрая демо, переходите к эфемерному сценарию: нативный macOS, сессия по правилам FAQ посуточной аренды Mac SSH и VNC, подбор CPU и SSD через тарифы bare metal MacDate, удалённая эргономика по руководству удалённого доступа macOS. Триада привязывает burn-down к измеримым сетевым и железным параметрам. Секреты шлюза держите в соответствии с удалённым шлюзом и SecretRef, чтобы аренда оставалась технической оболочкой без компромисса токен-политики.