هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-AFD04EF8

6/30/2026, 9:52:00 PM

omc تقييم أمني v2

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
omc
الإصدار
v2
المشرف
supercent-io
المصدر
github.com/supercent-io/skills-template/tree/main/.agent-skills/omc/
التغطية
2 الملفات التي تم فحصها · 193 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

مرتفع

يتطلب 1 اكتشاف أمني مؤكد اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

Static findings for weak cryptography appear to be false positives caused by prose and command examples, with no cryptographic primitive shown. The skill still presents high risk because it directs installation of an external community plugin, enables broad Claude Code tools, modifies a hidden home-directory settings file, and configures external notification endpoints.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

2 الملفات التي تم فحصها · 193 الأسطر التي تم تحليلها

5 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في 5 مواضع أدلة

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في 2 مواضع أدلة

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 8 مواضع أدلة

عناصر مراجعة القدرات (4)
مرتفع
SKILL.md:28-30SKILL.md:159
External Community Plugin Installation
The skill instructs users to add and install a plugin from an external GitHub repository. This is a supply-chain risk because the installed plugin code is outside this skill report and can change independently.
The installation command and GitHub URL are explicit. I did not find proof of malicious code in these files, but the external install path creates material supply-chain exposure.
متوسط
SKILL.md:58-64SKILL.toon:17
Hidden Home Directory Configuration Change
The skill instructs users to enable native teams in a hidden Claude settings file under the home directory. This is a legitimate configuration step, but it changes persistent user environment state.
The hidden settings path and environment flag are explicit. The change appears documented and user-directed, so it is a moderate operational risk rather than confirmed abuse.
متوسط
SKILL.md:109-112
External Notification Callback Configuration
The skill documents Telegram and Discord callback setup with bot tokens, chat identifiers, and webhook URLs. Misuse could expose workflow metadata or secrets to external services.
The callback commands and secret-like parameters are directly shown. No evidence shows automatic exfiltration, but the documented integration sends data to external endpoints.
منخفض
SKILL.md:168SKILL.toon:10
Hardcoded Documentation URLs
The skill includes hardcoded GitHub and documentation URLs. These are expected for installation and documentation, but users should verify the destination before installing.
The URLs are visible and serve documentation or installation purposes. They are not hidden exfiltration endpoints in the scanned files.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (1)

RISK-001 مرتفع
SKILL.md:4SKILL.md:52-54SKILL.md:145-151
Broad Agent Tool Access With Autonomous Execution
The skill advertises Bash and Write access and promotes autonomous or persistent execution modes. This can amplify impact if the external plugin or agent workflow performs unsafe actions.
The allowed tools and autonomous execution claims are directly present. The risk depends on runtime behavior not included in the scanned files, so confidence is high but not absolute.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

تم تجاهل الإيجابيات الكاذبة الثابتة (1)
منخفض
SKILL.md:3SKILL.md:47-56SKILL.md:82SKILL.md:138SKILL.toon:13-23
Weak Cryptography Static Alerts Are False Positives
The static weak-crypto findings appear to match prose, mode names, or Markdown content. No evidence found of MD5, SHA-1, DES, RC4, or another weak cryptographic primitive being used.
The cited files are documentation and structured summaries, not crypto code. Manual review found no cryptographic algorithm invocation at the reported locations.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable