هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-B9181A8E

7/9/2026, 4:03:08 AM

eightctl تقييم أمني v6

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: claude تقرير تاريخي
اسم المهارة
eightctl
الإصدار
v6
المشرف
aiskillstore
المصدر
github.com/aiskillstore/marketplace/tree/main/skills/mylukin/eightctl/
التغطية
1 الملفات التي تم فحصها · 51 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

متوسط

تتطلب 2 اكتشافات أمنية مؤكدة اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

The skill intentionally invokes the eightctl CLI to control Eight Sleep hardware and uses local or environment-based credentials. No prompt injection or malicious instructions were found, but device-control actions and credential handling require confirmation and user care.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 51 الأسطر التي تم تحليلها

13 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في موضع دليل واحد 1

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في موضع دليل واحد 1

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 10 مواضع أدلة

عناصر مراجعة القدرات (11)
مرتفع
SKILL.md:31
Hidden file in home directory
- Config: `~/.config/eightctl/config.yaml`
The skill documents use of a hidden configuration file under the user's home directory. This may contain authentication data.
متوسط
SKILL.md:27
Ruby/shell backtick execution
Use `eightctl` for Eight Sleep pod control. Requires auth.
The line instructs use of the external eightctl command for device control, although the backticks are Markdown formatting rather than Ruby execution.
متوسط
SKILL.md:36
Ruby/shell backtick execution
- `eightctl status`
The line documents an external eightctl command that queries device status.
متوسط
SKILL.md:37
Ruby/shell backtick execution
- `eightctl on|off`
The line documents external eightctl commands that turn the pod on or off.
متوسط
SKILL.md:38
Ruby/shell backtick execution
- `eightctl temp 20`
The line documents an external eightctl command that changes pod temperature.
متوسط
SKILL.md:42
Ruby/shell backtick execution
- Alarms: `eightctl alarm list|create|dismiss`
The line documents external eightctl alarm commands, including commands that create or dismiss alarms.
متوسط
SKILL.md:43
Ruby/shell backtick execution
- Schedules: `eightctl schedule list|create|update`
The line documents external eightctl schedule commands, including commands that create or update schedules.
متوسط
SKILL.md:44
Ruby/shell backtick execution
- Audio: `eightctl audio state|play|pause`
The line documents external eightctl audio commands, including commands that change audio playback.
متوسط
SKILL.md:45
Ruby/shell backtick execution
- Base: `eightctl base info|angle`
The line documents external eightctl base commands, including commands that can adjust the base angle.
متوسط
SKILL.md:31
Hidden file access
- Config: `~/.config/eightctl/config.yaml`
The skill documents access to ~/.config/eightctl/config.yaml for CLI configuration.
منخفض
SKILL.md:4
Hardcoded URL
homepage: https://eightctl.sh
The metadata includes a hardcoded project homepage URL. This is expected for a skill listing and is low risk.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (2)

RISK-001 متوسط
SKILL.md:29-32
Credential-Based Device Control
The skill instructs users to authenticate with ~/.config/eightctl/config.yaml or EIGHTCTL_EMAIL and EIGHTCTL_PASSWORD. These credentials enable control of a physical sleep device and should not be exposed in chat, logs, or shared files.
The authentication methods are explicitly documented, and the commands affect connected Eight Sleep hardware.
RISK-002 متوسط
SKILL.md:36-50
Physical Device State Changes Require Confirmation
The skill supports commands that can change temperature, alarms, schedules, audio playback, and base angle. These actions affect a physical device and should require explicit user approval before execution.
The documented command list includes multiple mutating operations, and the file itself recommends confirmation before some changes.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    متوسط
    The skill documents password-based authentication through config files and environment variables.
    Warn users not to paste credentials into chats, logs, shared terminals, or repository files. Prefer existing local configuration when possible.
  2. FIX-002
    متوسط
    The skill can change physical device state, including temperature, alarms, audio, and base angle.
    Keep the existing guidance to confirm before changes, and require explicit user approval for any command that modifies device state.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: claude

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable