openclaw-stock-skill

该技能的功能与所需能力基本一致，主要风险不在明显恶意行为，而在第三方 GitHub 技能安装的转移信任链、将 API Key 转发到非官方股票数据域名，以及 WebSocket token 通过 URL 传递。整体更像可工作的第三方集成，但安装与凭证流转方式使其应判为 SUSPICIOUS 而非 BENIGN。