金色财经报道，慢雾科技首席信息安全官23pds发文提醒称，ClawHub开发者请注意钓鱼和凭据泄露风险。目前ClawHub依赖开发者GitHub一键登录，之前Sha1-Hulud蠕虫窃取大量开发者的GitHub凭据，攻击者可能会伺机攻击Skills。 攻击路径为：凭证窃取→攻击者获取GitHub权限→以开发者身份登录ClawHub→发布恶意Skills植入后门→用户下载安装后执行恶意代码导致系统入侵。