六层架构·持久记忆·告别上下文丢失

report_id: CLS-20260713-ELTM-A7F3
report_date: "2026-07-13T07:58:58Z"
scanner_version: CLS-Certify v2.1.0
scan_mode: Full Scan

skill_name: elite-longterm-memory
skill_version: 1.2.3
skill_path: /tmp/bss_skill_x5yfyeeb
maintainer: NextFrontierBuilds
license: MIT

trust_level: T3
trust_level_text: 个人开发者/社区项目

scan_duration: 45.2s
code_stats: 865 lines · 6 files · 187 executable lines

grade: A
score: 82
evaluation: 标准安全级别，适合生产环境使用

stamp_color: green
total_风险发现: 3

radar:

• name: 静态代码分析
  short: 静态分析
  score: 85
  status: good
  detail: 未发现危险函数或恶意代码模式
• name: 动态行为分析
  short: 动态分析
  score: 90
  status: good
  detail: 无可疑运行时行为
• name: 依赖审计
  short: 依赖审计
  score: 88
  status: good
  detail: 无运行时依赖，仅可选依赖 mem0ai
• name: 网络流量分析
  short: 网络分析
  score: 95
  status: good
  detail: 无主动网络请求，仅文档中引用外部服务
• name: 隐私合规检查
  short: 隐私合规
  score: 75
  status: warning
  detail: 建议用户注意记忆文件可能包含敏感信息
• name: 来源信誉与威胁情报
  short: 威胁情报
  score: 70
  status: warning
  detail: T3级别来源，需用户自行评估信任度

compliance:

• text: GDPR 数据最小化原则
  status: pass
• text: 用户同意机制
  status: pass
• text: 数据可携带性
  status: pass
• text: 数据删除权利支持
  status: warn
• text: 敏感数据访问控制
  status: pass
• text: 第三方服务透明度
  status: pass

sample_hash: sha256:c693526326322a0bfc25cbdd2f7cc6f743fe6d0186759fbcd05c48e50caf151e

disclaimer: 认证结果不代表对代码功能性、性能或维护质量的担保。本报告基于静态分析和模式匹配生成，建议结合人工代码审查进行综合评估。

风险模式

• {severity: info, text: 本地文件操作}
• {severity: info, text: 可选第三方集成}
• {severity: warning, text: 敏感数据持久化风险}

分析摘要

1. 无恶意代码: 经六维深度扫描，未发现 eval/exec/system 等危险函数、数据外泄代码或提示词投毒行为。
2. 本地文件操作: Skill 主要功能为创建和管理本地记忆文件（SESSION-STATE.md、MEMORY.md、memory/ 目录），所有文件操作均在当前工作目录内。
3. 可选云集成: mem0ai 和 SuperMemory 为可选依赖，需用户显式安装和配置 API Key 后方可使用，不会静默上传数据。
4. T3 来源等级: 维护者为社区开发者（NextFrontierBuilds），非知名企业或基金会，建议用户根据自身安全策略评估信任度。
5. 隐私建议: 记忆文件可能包含用户工作内容的敏感信息，建议定期审查和清理，避免在共享环境中暴露。

外部接口

注: 本 Skill 本身不发起任何网络请求。文档中提及的外部服务（OpenAI、Mem0、SuperMemory）需用户主动配置 API Key 后通过其他工具调用。

风险发现

RISK-001

• severity: low
• category: 敏感数据持久化
• title: 记忆文件可能包含敏感信息
• location: SESSION-STATE.md, MEMORY.md, memory/
• description: Skill 创建的 SESSION-STATE.md、MEMORY.md 和 memory/ 目录下的日志文件会持久化存储用户的工作内容、决策和偏好。虽然这是预期功能，但在共享环境或版本控制中提交这些文件可能导致敏感信息泄露。
• recommendation: 建议用户：1) 将 SESSION-STATE.md 和 memory/ 添加到 .gitignore；2) 定期审查记忆文件内容；3) 不在公共仓库中分享包含敏感上下文的记忆文件。

RISK-002

• severity: info
• category: 第三方服务依赖
• title: 可选 Mem0 和 SuperMemory 集成
• location: SKILL.md line 136-148, line 233
• description: Skill 文档介绍了可选的 Mem0 和 SuperMemory 云记忆服务集成。这些服务需要 API Key 并将数据上传到第三方服务器。虽然这是可选功能，但用户可能在不完全了解数据流向的情况下启用。
• recommendation: 在启用 Mem0 或 SuperMemory 集成前，请仔细阅读相关服务的隐私政策，确认上传内容的敏感度符合预期。建议先在非敏感项目中测试。

RISK-003

• severity: info
• category: 来源可信度
• title: T3 级别来源
• location: package.json line 38-44
• description: 该 Skill 由社区开发者 NextFrontierBuilds 维护，属于 T3 级别来源（个人开发者/社区项目）。代码通过 npm 和 GitHub 分发，无企业级安全审计背书。
• recommendation: 建议用户在关键生产环境中使用前，进行额外的代码审查，或等待社区更广泛的使用验证。

改进建议

1. 启用记忆搜索需配置 OpenAI API Key

描述: 若需启用 LanceDB 向量搜索功能，需要配置 OPENAI_API_KEY 环境变量。请确保 API Key 的安全存储，避免硬编码在代码或配置文件中。

2. 定期执行记忆卫生清理

描述: 建议每周运行一次记忆清理，删除过期的向量数据和归档旧的每日日志，防止敏感信息长期留存。

# 检查向量存储大小
du -sh ~/.openclaw/memory/

# 归档旧日志
mv memory/2026-01-*.md memory/archive/

3. 敏感项目使用 .gitignore

描述: 对于包含敏感信息的项目，建议在 .gitignore 中添加以下内容：

SESSION-STATE.md
MEMORY.md
memory/

4. 审查可选依赖 mem0ai 的使用

描述: mem0ai 作为可选依赖（optionalDependencies），仅在用户显式安装时使用。建议在安装前阅读其隐私政策，了解数据处理方式。

报告生成时间: 2026-07-13
CLS-Certify v2.1.0 - 公开来源 Safe Security Certification