Atlas 智能合约漏洞模式扫描器

Atlas Vuln Scanner 是一款兼容 OpenClaw/Hermes 的安全技能，可将 Solidity 代码仓库转化为结构化的首轮漏洞初步分诊报告。

该工具面向以下用户设计：

• 独立审计员与赏金猎人，用于执行仓库的首轮审查
• 准备接受审计或即将上线的 DeFi 团队
• 希望构建可复用智能合约审查工作流的 Agent 开发者

核心价值

对 Solidity 代码仓库运行 Atlas 模式扫描，您将获得：

• 关联至具体文件与行号的漏洞标记
• 置信度标签：高 / 中 / 低
• 模式分类：重入（reentrancy）、预言机风险（oracle risk）、访问控制（access control）、未检查调用（unchecked calls）、记账漂移（accounting drift）、暂停机制缺口（pause gaps）、初始化问题（initialization issues）、不安全类型转换（unsafe casts）、Gas 恶意消耗（gas griefing）
• 面向项目创始人的执行摘要（Founder-readable executive summary）
• 符合赏金规范的漏洞发现候选模板（Bounty-style finding candidate template）

重要安全边界

本工具属于启发式初筛技能，而非完整审计，亦非可保证识别全部漏洞的检测器。

所有输出结果必须明确区分以下三类：

• 静态启发式标记（Static heuristic flag） —— 匹配到某类模式，需人工验证
• 漏洞发现候选（Finding candidate） —— 证据强度足以触发深入审查
• 已验证漏洞（Verified finding） —— 仅在人工确认或 PoC 验证其可利用性后方可认定

未经明确的人工批准，不得提交漏洞、发送协议消息、公开披露利用细节，或声明已验证的严重等级。

快速上手

python3 scripts/atlas_vuln_scanner.py --target /path/to/solidity/repo --output ./scan-results

运行内置演示：

python3 scripts/atlas_vuln_scanner.py --target demo/contracts --output demo/results

输出内容包括：

• scan-report.md —— 完整的模式扫描报告
• finding-candidates.md —— 经优先级排序的漏洞候选描述
• exec-summary.md —— 面向协议创始人的可读摘要
• scanner-log.json —— 机器可读的原始扫描结果

Agent 工作流

将本技能作为 Agent 使用时，请遵循以下步骤：

1. 向用户请求本地路径或公开 GitHub 仓库 URL。
2. 如需，执行仓库克隆或拉取操作。
3. 针对 Solidity 文件运行扫描脚本。
4. 读取 scanner-log.json 与 scan-report.md。
5. 降低噪声：除非用户明确要求包含，否则应排除明显为模拟实现（mocks）、测试（tests）或接口定义（interfaces）的文件。
6. 撰写置信度标注清晰的前 3–5 个漏洞候选项。
7. 向用户说明哪些内容需经人工验证后方可披露。

推荐提示词（Prompt）

请使用 atlas-vuln-scanner 扫描此 Solidity 仓库：。生成简洁的初筛报告、高优先级漏洞候选列表，以及面向项目创始人的摘要。切勿对外提交或披露任何信息。

ClawHub 授权与商业化说明

当前公开的 ClawHub 文档将 ClawHub 定义为一个免费/开放的技能注册中心（free/open skill registry），而非付费市场。所有发布于 ClawHub 的技能均采用 MIT-0 许可协议，且 ClawHub 不支持原生付费技能、按技能定价、付费墙、收入分成、卖家入驻、Stripe 支付、付款分发或 KYC 流程。

推荐的商业化路径如下：

• 将本技能以免费防御型初筛工具形式发布于 ClawHub，提升可见性与发现率；
• 将专有的高级模式包（premium pattern packs）、付费报告模板及私有/专业版扫描工作流保留在 ClawHub 外部；
• 通过行动号召（CTA）引导有意向用户前往 Atlas 获取付费版 Atlas Security Skill Pack，享受更深度的 DeFi 模式覆盖、精修的审计准备报告及付费验证工作流。

行动号召（CTA）：

本 ClawHub 技能为 Atlas 扫描器的基础免费版本。如需更全面的 DeFi 模式覆盖、专业打磨的审计准备报告，以及付费验证工作流，请访问 https://atlasagentsuite.com 获取 Atlas Security Skill Pack。

来源与免责说明

所选漏洞模式基于 Atlas/OpenClaw 在赏金计划与审计工作流中的实践经验，并融合了常见 DeFi 缺陷类别。扫描器输出应视为人工审查的优先级排序依据，而非最终判定依据。