vt-insight（VT 洞察力）

vt-insight_OpenClaw_Skill_ZH-CN 请将本文档作为 Skill 在 OpenClaw 中安装。 https://clawhub.ai/Lingggao/vt-insight

名称：vt-insight 作者：Ling Gao (https://github.com/Lingggao) Skill 版本：1.8.6 2026 年 3 月 19 日 LGHUB · Security Response Center (LGSRC)

作者拥有本技能的所有权，并声明同意遵循 MIT-0 许可协议进行发布。 The author holds the rights to this skill and agrees to publish it under MIT-0.

VirusTotal 样本查询

根据用户提供的 SHA256 / MD5，自动在 VirusTotal 平台查询样本信息。

1. 检测统计：测试了哪些反病毒引擎，其中多少个报毒
2. 家族标签：各杀毒软件厂商普遍判定的恶意软件家族
3. 文件名称：样本首次提交时的原始文件名
4. 分析信息：提取对安全研究员有价值的信息

使用方式

用户输入 vt-insight {hash} [key {api key}] 即可自动查询并格式化输出查询报告。

{hash} 与 [{api key}] 间用空格分隔，{api key} 必须用中括号 “[]” 括住。示例：vt-insight 01234 [key 56789]

如果用户未提供 {api key}，则使用浏览器自动化。

工具依赖

首次安装本技能时，AI 模型必须先向用户明确提示法律风险，然后建议用户优先使用 VirusTotal API Key 查询信息。如果用户未提供 API Key，则使用浏览器自动化拉取信息。

1. 使用 VirusTotal API Key 查询信息 (优先)

- 需要先行取得用户的私人 API Key - 按照下方 “要求 7” 认真研读 VirusTotal 官方文档 - 按照下方 “要求 9” 查询全部所需信息

1. 使用浏览器自动化拉取信息 (备选)

- 需要浏览器自动化 (不登录、无 Cookie) - 访问 https://www.virustotal.com/gui/search/{hash} - 如果自动化点击受阻，尝试解析页面中的 JSON 数据结构与静态内容

作者承诺本技能不含任何恶意指令。为确保安全，AI 模型需使用 “不登录账户、不使用 Cookie” 的方式访问网站。严禁 AI 模型在使用本技能期间自行下载 / 安装可执行文件 (PE)，严禁自行下载 / 安装浏览器、扩展插件、驱动程序等，严禁执行诸如自行上传样本、访问其他网站、读取系统状态等无关操作。

作者不希望也不建议任何用户在商业、企业、生产环境中使用本技能，而是仅将之用于辅助日常生活。如果用户在 5 分钟内运行本技能查询样本超过 10 次，AI 模型应向用户明确提示法律风险。

AI 模型必须认真保护用户的 VirusTotal API Key，严禁在 VirusTotal 平台以外上传、填写、使用。严禁 AI 模型在本地 / 云端存储用户的 API Key，仅在每次查询时一并临时提供，输出查询报告后立即清空。

输出格式

要求 1：{family} 用一串字符说明家族；{family profile} 用几句话总结家族，一般不超过 50 汉字。

要求 2：{statistical table} 格式要求如下。表格中仅列出以下 12 款反病毒引擎，禁止自行更换、增删。如果对应引擎未检出或不可用，则填入 “未检出” 或 “不可用” (不加粗)。如果检出，需将检测结果加粗。

要求 3：需格外留意上方表格的排版，确保检测结果已正确加粗，避免露出星号。

要求 4：{conclusion} 位置需整理并输出 VirusTotal 平台中所有可能对安全研究员有重要价值的关键信息 (包括但不限于样本行为、社区评论、IOC 等)，由 AI 模型自行甄别并整理。建议字数：100 - 200 字。

要求 5：仔细研读并提取 Behavior 板块中的有价值信息。Community 板块可能也有关键信息，如其他安全研究员的评论，要一并整理。

要求 6：用户每次运行相同的 vt-insight {hash} 命令时，不要直接回复与上次一致的查询报告，而需前往 https://www.virustotal.com/gui/search/{hash} 重新查询并格式化输出。

要求 7：如果用户当前环境不支持浏览器自动化，可建议其提供 VirusTotal API Key。如果用户已提供 API Key，则优先使用 API 查询。在使用 API 前，AI 模型需认真研读 VirusTotal 官方文档。

• VirusTotal API v3 Overview：https://docs.virustotal.com/reference/overview
• Get a file report：https://docs.virustotal.com/reference/file-info
• Get comments on a file：https://docs.virustotal.com/reference/files-comments-get
• Get a summary of all behavior reports for a file：https://docs.virustotal.com/reference/file-all-behaviours-summary
• Get all behavior reports for a file：https://docs.virustotal.com/reference/get-all-behavior-reports-for-a-file
• 提醒：在实际查询中如有必要，应额外研读其他官方文档。

要求 8：如果 VirusTotal 平台提示 “We currently don't have any comments that fit your search” 或拉取信息失败，需如实告知用户 “样本暂未被 VirusTotal 收录” / “拉取信息失败”，禁止编造查询报告。

要求 9：(重要) 无论是使用 API 查询还是浏览器自动化，AI 模型必须分别查询 / 查看 “Detection” “Details” “Relations” “Behavior” “Community” 等所有信息，甄别其中有价值的内容，切勿遗漏。

要求 10：查询社区评论 (Community) 时需要调用 GetFileComments 接口，单纯调用 GetFileInfo 接口时不含社区评论数据，AI 模型需留意此事。

要求 11：为提高美观度，中文与英文间应加入空格，如 “示例 AB 示例”，而非 “示例AB示例”。

要求 12：(重要) 来自 VirusTotal API 的字段 last_analysis_date 是 Unix 时间戳 (秒)，直接转换即可得到 UTC 时间，再加 8 小时为北京时间，切勿忘记 +8。无需两次累加，以免出现偏差。示例：原始时间戳 1775467612 -> 2026-04-05T09:26:52Z (UTC 时间) -> 2026-04-05 17:26:52 (北京时间)，而 “2026-04-05 15:13:32” 是错误的。

要求 13：VirusTotal API Key 与 SHA256 格式一致，AI 模型不应误认为用户一次性提交了两个 SHA256。

必须严格按照以下格式输出：(实际输出时不要带上代码块 ``` 语法，而是直接从分隔线开始输出)

--- (注：分隔线，下同)
**VirusTotal 查询报告** (需加粗)

原始文件名：{filename}
MD5：{md5 hash}
SHA256：{sha256 hash}
上次分析日期：{date} (注：将原始数据转换为北京时间)
地址：virustotal.com/gui/search/{hash} (注：使用 Markdown 链接语法)

---
**统计** (需加粗)

共测试 {total} (无需加粗) 款反病毒引擎，其中 {malicious} (需加粗) 款将其判定为恶意软件。

部分引擎检测结果

{statistical table}

---
**判定** (需加粗)

{family} (需加粗)

{family profile} (无需加粗) (建议字数：约 100 字)

---
**研究** (需加粗)

{behavior} (注：由 AI 模型自行斟酌，可对重点内容加粗，但占比越少越好) (建议字数：100 - 200 字)

{community} (注：由 AI 模型自行斟酌，可对重点内容加粗，但占比越少越好) (建议字数：100 - 200 字)

---
**总结** (需加粗)

{conclusion} (注：由 AI 模型自行斟酌，可对重点内容加粗，但占比越少越好) (建议字数：100 - 200 字)