吴说获悉，慢雾首席信息安全官 23pds 发推称，ClawHub 开发者需警惕钓鱼及凭据泄露风险。受此前 Sha1-Hulud 蠕虫窃取的 GitHub 凭据影响，攻击者可能利用 ClawHub 的 GitHub 一键登录机制获取开发者权限，进而发布植入后门的恶意 Skills。若用户下载并安装相关 Skills，将面临恶意代码执行及系统入侵风险。