هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-74160C74

6/30/2026, 10:15:10 PM

background-remover تقييم أمني v3

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
background-remover
الإصدار
v3
المشرف
verging.ai
المصدر
github.com/verging-ai/agent-skills/tree/main/skills/background-removal
التغطية
1 الملفات التي تم فحصها · 239 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

ملخص الاكتشاف المؤكد

لا توجد نتائج أمنية مؤكدة

لم يسجل التدقيق المكتمل أي نتائج أمنية مؤكدة. لا يُعد هذا دليلاً على أن المهارة ليس لها آثار جانبية.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

Static analysis found many command, network, environment, filesystem, and weak-cryptography patterns. Review confirms legitimate third-party API behavior for image processing, but the skill sends API keys and images to external services and returns public result URLs. No prompt injection, bundled malware, or confirmed malicious intent was found; weak-cryptography alerts are false positives from Markdown text.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 239 الأسطر التي تم تحليلها

3 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في 8 مواضع أدلة

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في 3 مواضع أدلة

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

تمت ملاحظته في 7 مواضع أدلة

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 7 مواضع أدلة

عناصر مراجعة القدرات (3)
متوسط
SKILL.md:153-156SKILL.md:235-237
Third-Party Image Upload and Public Result URL
The skill instructs agents to upload user images to verging.ai and R2 storage, then return processed images through a public URL. This is legitimate for the advertised service, but it creates privacy and data exposure risk for sensitive images.
The documented processing flow explicitly uploads images and stores results behind public URLs. The behavior matches the skill purpose, so the risk is privacy exposure rather than confirmed malicious intent.
متوسط
SKILL.md:42SKILL.md:87-91SKILL.md:110-121SKILL.md:214SKILL.md:231
API Key Used in Credentialed Network Requests
The skill requires VERGING_API_KEY or an explicit API key and sends it in Authorization headers for curl requests. This is expected for the service, but copied commands or command-line flags can expose secrets through logs, shell history, or process listings.
The API key requirement and Authorization header examples are explicit. The endpoint is the advertised provider, so this is an operational secret-handling concern rather than evidence of exfiltration.
متوسط
SKILL.md:141-145SKILL.md:200-204
User-Provided Remote URLs May Be Fetched
The skill tells agents to download remote image URLs with curl before processing. Without validation guidance, this could fetch unintended internal, private, or untrusted resources from the execution environment.
The remote URL workflow is clearly documented, but no implementation is bundled. The risk depends on how the agent validates URLs before running curl.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

لم تُسجّل نتائج أمنية مؤكدة لهذا التدقيق المكتمل.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

تم تجاهل الإيجابيات الكاذبة الثابتة (2)
منخفض
SKILL.md:33-35SKILL.md:85-88SKILL.md:105-106SKILL.md:171
External Command Alerts Are Mostly Documentation Examples
The static Ruby backtick detections map to fenced command examples and Markdown instructions, not bundled executable code. The skill still asks agents to use curl, so command execution should be user-visible and limited to the documented workflow.
The reviewed file is Markdown and contains no separate script file. Some command execution remains intentional because the instructions tell the agent to call curl.
منخفض
SKILL.md:3SKILL.md:26SKILL.md:39SKILL.md:48
Weak Cryptography Alerts Are False Positives
The reported weak-cryptography locations contain descriptive Markdown, tables, or skill metadata. No evidence of MD5, SHA1, DES, RC4, or other cryptographic implementation was found in the reviewed skill file.
The cited lines contain no cryptographic code or algorithm selection. This is a strong false positive from keyword matching in prose.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable