هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-969417FC

7/6/2026, 11:59:27 AM

eightctl تقييم أمني v4

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
eightctl
الإصدار
v4
المشرف
aiskillstore
المصدر
github.com/aiskillstore/marketplace/tree/main/skills/mylukin/eightctl/
التغطية
1 الملفات التي تم فحصها · 51 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

متوسط

تتطلب 3 اكتشافات أمنية مؤكدة اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

The skill relies on the external eightctl CLI, which can control an Eight Sleep device after authentication. Markdown-only detections for config paths, homepage metadata, and rate-limit notes were false positives, but mutable installation, credential handling, and device-changing commands require clear safeguards.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 51 الأسطر التي تم تحليلها

11 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في موضع دليل واحد 1

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في موضع دليل واحد 1

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 10 مواضع أدلة

عناصر مراجعة القدرات (8)
متوسط
SKILL.md:27
Ruby/shell backtick execution
Use `eightctl` for Eight Sleep pod control. Requires auth.
The backticks are Markdown, not Ruby execution, but this line confirms reliance on the external eightctl command.
متوسط
SKILL.md:36
Ruby/shell backtick execution
- `eightctl status`
The backticks are Markdown, but the skill instructs the agent to run the external eightctl status command.
متوسط
SKILL.md:37
Ruby/shell backtick execution
- `eightctl on|off`
The backticks are Markdown, but the skill documents external eightctl on and off commands that change device state.
متوسط
SKILL.md:38
Ruby/shell backtick execution
- `eightctl temp 20`
The backticks are Markdown, but the skill documents an external eightctl temperature command.
متوسط
SKILL.md:42
Ruby/shell backtick execution
- Alarms: `eightctl alarm list|create|dismiss`
The backticks are Markdown, but the skill documents external eightctl alarm commands.
متوسط
SKILL.md:43
Ruby/shell backtick execution
- Schedules: `eightctl schedule list|create|update`
The backticks are Markdown, but the skill documents external eightctl schedule commands.
متوسط
SKILL.md:44
Ruby/shell backtick execution
- Audio: `eightctl audio state|play|pause`
The backticks are Markdown, but the skill documents external eightctl audio commands.
متوسط
SKILL.md:45
Ruby/shell backtick execution
- Base: `eightctl base info|angle`
The backticks are Markdown, but the skill documents external eightctl base commands.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (3)

RISK-001 متوسط
SKILL.md:14-18
Mutable External Tool Installation
The skill installs github.com/steipete/eightctl/cmd/eightctl@latest, which can resolve to different code over time.
The metadata explicitly declares a Go install target with the @latest version selector.
RISK-002 متوسط
SKILL.md:27-32
Sensitive Account Credentials Required
The skill requires Eight Sleep authentication and supports config or environment variables for email and password.
The instructions state that authentication is required and name credential storage mechanisms.
RISK-003 متوسط
SKILL.md:36-50
Authenticated Device State Changes
The skill can change temperature, power, alarms, schedules, audio, and base position through an unofficial API.
The command list includes several mutating operations, and the notes state the API is unofficial.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    متوسط
    The installer references a mutable Go module version.
    Pin the eightctl module to a reviewed release and document how users can verify the installed binary.
  2. FIX-002
    متوسط
    The skill requires Eight Sleep account credentials through config or environment variables.
    Tell users to protect the config file permissions and never paste credentials into chat transcripts.
  3. FIX-003
    متوسط
    Commands can change temperature, alarms, schedules, audio, or base position.
    Require explicit confirmation for every mutating command, not only temperature and alarms.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable