Skill 与 Plugin

OpenClaw 新用户最常问的问题是："Skill、Plugin 和 Tool 有什么区别？"听起来好像可以互换使用，但它们实际上运行在完全不同的层级。理解这一区别是高效扩展 Agent 的关键。

三个层级

OpenClaw 的可扩展性建立在三个协作运行的层级之上：

三者的协作链路如下：

Plugin → 可以自带 Skill → Skill 教会 Agent 使用 Tool → Tool 执行操作

Tool：基础层

Tool 是 26 个内置能力，让你的 Agent 能够与外部世界交互。每个 Tool 都有风险分级：

• Safe —— 只读操作，如 read、web_search、list_directory
• Medium —— 写操作，如 write、edit、browser
• High —— 不受限的执行，如 exec、shell

你可以通过 openclaw.json 中的 tools.allow 配置来控制 Agent 可以使用哪些 Tool。如果你的 Agent 只需要搜索网页和读取文件，就不要给它 exec 权限。

Skill：智能层

Skill 是最容易被误解的部分。**Skill 不是代码。**它是一份结构化文档（SKILL.md），带有 YAML 前置元数据，会被加载到 Agent 的系统 Prompt 中。它教会 Agent 如何利用已有的 Tool 完成任务。

例如，github Skill 不包含任何 GitHub API 代码。它包含的是详细指令，告诉 Agent 如何使用 exec Tool 来运行 gh CLI 命令，实现创建 PR、审查代码和管理 Issue 等操作。

Skill 采用渐进式加载——Agent 只会在与当前对话相关时加载对应的 Skill 指令，从而高效利用上下文窗口。

Plugin：平台层

Plugin 是在系统层面扩展 OpenClaw 的实际运行时代码。共有四种类型：

• Channel Plugin —— 连接新的消息平台（Telegram、Discord、Slack、WhatsApp）
• Memory Plugin —— 添加持久记忆后端（向量存储、数据库）
• Tool Plugin —— 注册超出 26 个内置 Tool 之外的全新 Tool 能力
• Provider Plugin —— 添加自定义 LLM 供应商

大多数用户永远不需要编写 Plugin。Skill 和内置 Tool 已经覆盖了绝大多数使用场景。

值得了解的内置 Skill

OpenClaw 开箱内置 53 个 Skill。以下是大家实际在用的：

开发

AI 与生成

通讯

效率工具

智能家居与媒体

实用工具

ClawHub 生态

除了 53 个内置 Skill，ClawHub 是一个拥有超过 13,700 个 Skill 的社区市场。其中最受欢迎的 Skill 拥有大量用户：

• 网页浏览 —— 180,000+ 次安装
• Telegram 集成 —— 145,000+ 次安装

ClawHub 上的 Skill 按类别组织：AI/ML、工具、开发、效率、Web、科学、媒体、社交和金融。

如何找到优质 Skill

在 13,700+ 个 Skill 中，质量参差不齐。以下是找到优质 Skill 的方法：

MCP Tool

OpenClaw 原生支持 Model Context Protocol (MCP)，允许你将外部 Tool 服务器连接到 Agent。这对于集成那些没有专门 OpenClaw Skill 的服务特别有用。

配置位于 openclaw.json 的 mcpServers 部分：

{
  "mcpServers": {
    "google-drive": {
      "command": "npx",
      "args": ["-y", "@anthropic/mcp-google-drive"]
    }
  }
}

目前有超过 1,000 个社区 MCP 服务器可用，覆盖 Google Drive、Slack、数据库（PostgreSQL、MongoDB）、云平台（AWS、GCP、Azure）等。每个 MCP 服务器暴露自己的 Tool 集合，你的 Agent 可以直接调用。

安全：ClawHavoc 事件

2026 年 1 月至 2 月，OpenClaw 社区经历了 ClawHavoc——一次通过 ClawHub 上的恶意 Skill 发起的供应链攻击。这不是假设，而是真实发生的事件。

事件经过

12 个发布者账户共上传了 1,184 个恶意 Skill，包含：

• 反向 Shell —— 使攻击者获得宿主机的远程访问权限
• 数据窃取 —— 静默上传文件、凭据和环境变量
• AMOS 窃取程序 —— 针对 macOS 的恶意软件，窃取浏览器密码和加密钱包
• 通过 MEMORY.md 实现持久感染 —— 将指令注入 Agent 的持久记忆，使恶意行为在 Skill 被删除后仍然存活

后续响应

OpenClaw 与 VirusTotal 合作，移除了超过 2,400 个可疑 Skill。引入了发布者验证机制，让用户能够区分经过审查的发布者和匿名上传者。

然而，Snyk 后续审计发现 ClawHub Skill 中仍有 36% 包含某种形式的 Prompt 注入。VirusTotal 能够捕获二进制恶意软件和已知攻击模式，但无法检测自然语言 Prompt 注入——隐藏在 Skill 中的指令会以微妙的方式操纵 Agent 的行为。

如何保护自己

如果你使用社区 Skill，以下做法不是可选的而是必须的：

1. **安装前审查每个未经验证的 Skill。**阅读 SKILL.md 文件。它是一份文本文档——只需几分钟而非几小时。
2. **使用 allowBundled 白名单只加载你需要的 Skill。**如果你只用 5 个，不要加载全部 53 个内置 Skill。
3. **锁定 Skill 版本。**不要自动更新社区 Skill，升级前查看更新日志。
4. **定期运行 openclaw security audit。**这会扫描已安装的 Skill 中的已知恶意模式。
5. **最小化 tools.allow 配置。**如果你的 Agent 不需要 Shell 访问权限，就不要授予 exec。被入侵 Skill 的影响范围仅限于 Agent 可访问的 Tool。

在 Claw Buff 上管理 Skill

在 Claw Buff 上，Skill 管理通过控制台完成，无需手动编辑 openclaw.json。

启用和禁用 Skill —— 每个已安装的 Skill 在控制台的 Agent 部分都有一个开关。禁用的 Skill 不会被加载到 Agent 上下文中。

配置 API Key —— 需要外部服务凭据的 Skill（如 spotify-player 或 notion）提供内联配置字段，你可以在其中设置所需的环境变量。

浏览和安装 ClawHub Skill —— 你可以直接从控制台搜索和安装 ClawHub Skill，无需 SSH 访问容器。

二进制依赖 —— 部分 Skill 需要外部二进制文件（如用于媒体处理的 ffmpeg 或用于 GitHub 的 gh）。如果某个 Skill 需要容器中未预装的二进制文件，安装时会显示依赖提示。如需额外的系统包，请联系支持团队。