هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-7B5F6226

9/19/2026, 10:47:19 AM

agy-worker تقييم أمني v7

تقرير شهادة أمان المهارة

سجل التدقيق
إصدار الماسح 3.0.0 نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
agy-worker
الإصدار
v0.20.0
المشرف
cagdasyurekli
المصدر
github.com/cagdasyurekli/codex-agy-worker/tree/3da9a50afaa66492dd77f23f92c6ed4f84be4ada/skills/agy-worker
التغطية
92 الملفات التي تم فحصها · 38,537 الأسطر التي تم تحليلها
إصدار السياسة
skillstore-security-audit-policy-v1

أعلى مستوى خطورة لنتيجة مؤكدة

مرتفع

تتطلب 3 اكتشافات أمنية مؤكدة اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

The review confirmed intentional high-impact capabilities: external provider execution, repository-content transmission, verifier command execution, and limited private configuration access. Most static matches are false positives from defensive validation, documentation, compact schemas, or fixed local commands. Default session mode lacks host containment, and 589 lower-priority static matches remain outside the supplied adjudication set. Static review was capped at 400/989 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

تم استبدال الإقرار

يوجد إقرار أحدث.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

92 الملفات التي تم فحصها · 38,537 الأسطر التي تم تحليلها

15 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الالتزام والمسار مرتبطان

  2. العنصر البرمجي

    تم ربط تجزئات المحتوى والشجرة.

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

تمت ملاحظته في 22 مواضع أدلة

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في 43 مواضع أدلة

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في 50 مواضع أدلة

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

تمت ملاحظته في 15 مواضع أدلة

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 56 مواضع أدلة

عناصر مراجعة القدرات (12)
مرتفع
runtime/ground-truth.sh:63
Hidden file in home directory
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase reads ~/.gemini/antigravity-cli/settings.json from the user's home directory. The action is documented and explicit, but it accesses private tool configuration.
مرتفع
runtime/scripts/agy_dispatch_containment.py:777-778
Process exec
(allow process-exec
The native sandbox profile explicitly allows the provider process to execute the bound target and tools from staged and system paths. This is required functionality, but it grants meaningful command-execution authority.
مرتفع
runtime/scripts/evidence_receipt.py:1521
Python os.exec variants
os.execvpe(command[0], command, dict(os.environ))
The no-shell verifier replaces the process with a caller-selected, validated argv command. Validation limits parsing attacks, but the feature intentionally executes external project tooling.
مرتفع
runtime/scripts/agy_dispatch_verification.py:94
Python subprocess.Popen
process = subprocess.Popen(
This Popen launches the selected verification command inside the prepared containment profile. Verification can execute repository code, so the documented approval and isolation controls remain security-critical.
مرتفع
runtime/scripts/agy_dispatch.py:4949
Python subprocess.Popen
process = subprocess.Popen(
This Popen is the live Antigravity provider launch and gives the external worker access to approved repository content. The executable and environment are bound, but provider execution remains a high-impact trust boundary.
متوسط
runtime/ground-truth.sh:63
Hidden file access
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase opens ~/.gemini/antigravity-cli/settings.json to display permission settings. This is intentional diagnostics, but it is genuine hidden-file access.
متوسط
runtime/qa-gate.sh:623
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
Shell verification passes the selected verification specification to /bin/bash -c. This intentionally supports arbitrary shell commands and therefore carries command-injection and project-code execution risk.
متوسط
runtime/qa-gate.sh:639
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The alternate gate branch also executes the selected verification specification through /bin/bash -c. The clean environment reduces exposure but does not remove arbitrary shell execution.
منخفض
runtime/scripts/evidence_receipt.py:1115
Python environment access
if name in os.environ:
The verifier reads explicitly named values from the caller environment. The opt-in and private-pipe design reduce risk, but approved names may contain credentials.
منخفض
runtime/scripts/evidence_receipt.py:1117
Python environment access
(os.fsencode(name), b"\0", os.fsencode(os.environ[name]), b"\0")
This line serializes approved environment values into the private verifier payload. Credential acknowledgements are enforced, but sensitive values still cross into executed verification code.
منخفض
runtime/scripts/evidence_receipt.py:1521
Python environment access
os.execvpe(command[0], command, dict(os.environ))
The validated verifier receives the gate's environment through execvpe. The environment is sanitized and opt-in, but any approved secret becomes accessible to project tooling.
منخفض
runtime/scripts/feedback-triage.py:360
Python environment access
environment = os.environ.copy()
Feedback triage copies the ambient environment before invoking an authenticated GitHub CLI request. Fixed GitHub routing limits misuse, but the child can receive ambient GitHub credentials.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (3)

RISK-001 مرتفع
SKILL.md:45-50
Approved repository content is transmitted to an external provider
Scoped files or an entire approved worktree can be readable and transmissible to Google or Gemini. Digest approval reduces accidental scope changes but does not eliminate third-party disclosure.
The skill explicitly documents provider-readable content, whole-worktree transmission, and the need to remove secrets before launch.
RISK-002 مرتفع
SKILL.md:48references/SECURITY_AND_COMPATIBILITY.md:85-91
Default session isolation retains ambient user authority
The default session mode gives AGY normal user filesystem and network authority outside the staged workspace. Scope reconciliation cannot prevent unobserved reads or network activity.
Both the primary instructions and security guide state that session mode has no host containment and cannot observe access outside the stage.
RISK-003 مرتفع
references/SECURITY_AND_COMPATIBILITY.md:119-142
Native mode grants broad Keychain helper and listener authority
Native mode can expose wildcard listeners and broader same-user Keychain operations through the security helper. Approval does not technically limit helper operations to one AGY token.
The security guide explicitly states that wildcard binds are possible and Keychain reads, additions, changes, and deletions may be allowed.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    مرتفع
    Session isolation is the default despite retaining normal user filesystem and network authority.
    Default to native or equivalent containment where supported. Require a separate prominent confirmation when session mode is selected.
  2. FIX-002
    مرتفع
    Whole-worktree approval can expose unrelated repository content to the external provider.
    Disable whole-worktree dispatch in the marketplace build, or require scoped manifests unless every path receives explicit review.
  3. FIX-003
    مرتفع
    Legacy shell verification executes caller-selected text through bash.
    Remove shell mode from the default workflow. Prefer validated argv verification and require a separate warning for any retained shell mode.
  4. FIX-004
    مرتفع
    Native mode grants the security helper broader Keychain operations than token lookup requires.
    Replace helper access with a least-privilege credential handoff that cannot add, modify, delete, or enumerate unrelated Keychain items.
  5. FIX-005
    مرتفع
    Static review was capped at 400 of 989 matches.
    Complete manual review of the remaining 589 matches before automatic publication or installation is enabled.
  6. FIX-006
    متوسط
    Static review capped
    Manually review the omitted 589 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
7b5f6226ad3dfaed7068a68fb47e33a511a95cb3
تجزئة المحتوى
6265484dddafa504df20fa1cc2033d6bbd7243ada5189f892ddd42973c8285e4
تجزئة الشجرة
5ed1e9b7a5b0bbee6ff0542508a6ab17283522e7e176033e7531146657f8bd2c
مسار Skill
skills/cagdasyurekli/agy-worker
تجزئة حمولة التدقيق
2b712c7cff30f18b62689fab595c5377

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON إقرار تدقيق موقّع CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع المصدر

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: superseded