هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-38C27480

7/7/2026, 4:44:57 AM

sonoscli تقييم أمني v3

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
sonoscli
الإصدار
v3
المشرف
aiskillstore
المصدر
github.com/aiskillstore/marketplace/tree/main/skills/mylukin/sonoscli/
التغطية
1 الملفات التي تم فحصها · 66 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

منخفض

يتطلب 1 اكتشاف أمني مؤكد اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

The skill intentionally uses the external sonos CLI to discover and control Sonos speakers on the local network. Most static command findings are benign markdown examples, but the core external-command behavior is real and should be treated as a controlled local-device action. No prompt injection attempt was found in the skill text.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 66 الأسطر التي تم تحليلها

12 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في 4 مواضع أدلة

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

لم يتم تسجيله بواسطة هذا التدقيق

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 23 مواضع أدلة

عناصر مراجعة القدرات (11)
متوسط
SKILL.md:27
Ruby/shell backtick execution
Use `sonos` to control Sonos speakers on the local network.
The line instructs the agent to use the external sonos binary to control local speakers.
متوسط
SKILL.md:31
Ruby/shell backtick execution
- `sonos discover`
This is a concrete sonos discover command that runs an external CLI and probes the local network.
متوسط
SKILL.md:32
Ruby/shell backtick execution
- `sonos status --name "Kitchen"`
This is a concrete status command using the external sonos CLI.
متوسط
SKILL.md:33
Ruby/shell backtick execution
- `sonos play|pause|stop --name "Kitchen"`
This is a concrete playback control command using the external sonos CLI.
متوسط
SKILL.md:34
Ruby/shell backtick execution
- `sonos volume set 15 --name "Kitchen"`
This is a concrete volume change command using the external sonos CLI.
متوسط
SKILL.md:38
Ruby/shell backtick execution
- Grouping: `sonos group status|join|unjoin|party|solo`
The line lists group management subcommands for the external sonos CLI.
متوسط
SKILL.md:39
Ruby/shell backtick execution
- Favorites: `sonos favorites list|open`
The line lists favorites subcommands for the external sonos CLI.
متوسط
SKILL.md:40
Ruby/shell backtick execution
- Queue: `sonos queue list|play|clear`
The line lists queue management subcommands for the external sonos CLI.
متوسط
SKILL.md:41
Ruby/shell backtick execution
- Spotify search (via SMAPI): `sonos smapi search --service "Spotify" --category tracks "query"`
The line gives a concrete SMAPI search command through the external sonos CLI.
متوسط
SKILL.md:51
Ruby/shell backtick execution
### `sonos discover` - `no route to host`
The heading references the external sonos discover command as the operation being troubleshot.
متوسط
SKILL.md:65
Ruby/shell backtick execution
- Advise the user that they may be running via a Codex or other sandbox that does not permit network
The line describes reproducing the issue by running the sonos discover command in Codex.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (1)

RISK-001 منخفض
SKILL.md:10-18
Unpinned External Binary Install
The metadata installs github.com/steipete/sonoscli/cmd/sonos@latest. A mutable latest install can change binary behavior without a matching skill content change.
The install metadata clearly requires the sonos binary and fetches it from a Go module using the mutable latest selector.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    متوسط
    State-changing speaker commands
    Tell agents to request clear user confirmation before changing playback, volume, groups, favorites, or queues.
  2. FIX-002
    منخفض
    Mutable Go install target
    Pin the Go module installer to a reviewed version instead of github.com/steipete/sonoscli/cmd/sonos@latest.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable