Dieser Bericht ist nicht in der angeforderten Sprache verfügbar. Stattdessen wird der maßgebliche englische Bericht angezeigt.

Versionierte Sicherheitsbewertung

Berichts-ID: SA-5526951B

9/12/2026, 6:26:33 PM

agy-worker Sicherheitsbewertung v6

Zertifizierungsbericht zur Skill-Sicherheit

Audit-Verlauf
Scanner-Version 3.0.0 Auditmodell: claude Historischer Bericht
Skillname
agy-worker
Version
v0.18.0
Betreuer
cagdasyurekli
Quelle
github.com/cagdasyurekli/codex-agy-worker/tree/3da9a50afaa66492dd77f23f92c6ed4f84be4ada/skills/agy-worker
Abdeckung
92 Gescannte Dateien · 37,573 Analysierte Zeilen
Richtlinienversion
skillstore-security-audit-policy-v1

Zusammenfassung bestätigter Befunde

Keine bestätigten Sicherheitsbefunde

Das abgeschlossene Audit hat keine bestätigten Sicherheitsbefunde ergeben. Dies ist kein Beweis dafür, dass der Skill keine Nebenwirkungen hat.

Installationskontext

Historische Nachweise

Dieser Bericht beschreibt möglicherweise nicht das derzeit installierbare Artefakt. Öffnen Sie die aktuelle Skill-Seite für Installationshinweise.

Aktuelle Skill-Seite öffnen

Dieser Bericht blockiert oder autorisiert weder das Manifest noch die ZIP-Datei.

Most reviewed matches are false positives from documentation, schemas, validation literals, fixed Git commands, and type annotations. Confirmed risks are provider execution, approved verifier execution, legacy shell verification, selected environment forwarding, and opt-in access to Antigravity user settings. No prompt injection or exfiltration intent was found, but 565 capped static matches still require manual review before automatic publication. Static review was capped at 400/965 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Position melden

Historischer Bericht

Öffnen Sie den Auditverlauf, bevor Sie diesen Bericht zur Installation verwenden.

Audit-Nachweis

Attestierung ersetzt

Eine neuere Attestierung existiert.

Menschliche Überprüfung

Nicht überprüft

Für diesen Bericht ist keine menschliche Überprüfung verzeichnet.

Abdeckung

92 Gescannte Dateien · 37,573 Analysierte Zeilen

12 Elemente zur Überprüfung angezeigt

Einschränkungen

Dieser Bericht beansprucht keine Laufzeit- oder Sandbox-Ausführung und beweist nicht das Fehlen von Nebenwirkungen.

Beweiskette

Folgen Sie den Nachweisen von der Quellenbindung bis zum Installationsvertrag. Verfügbare Nachweise unterstützen die Überprüfung; sie sind keine Sicherheitsgarantie.

  1. Quelle

    An Commit und Pfad gebunden

  2. Artefakt

    An Inhalts- und Baum-Hashes gebunden

  3. Prüfung

    Vollständig

  4. Installationsvertrag

    Manifest zur Überprüfung öffnen

    Manifest öffnen

Beobachtete Funktionen

„Beobachtet“ bedeutet, dass dieser Bericht unterstützende Nachweise erfasst hat. Nicht erfasst bedeutet nicht, dass eine Fähigkeit nicht vorhanden ist.

Enthält Skripte

Kann mit dem Skill enthaltenen Code ausführen.

An 22 Nachweisstellen beobachtet

Netzwerkzugriff

Kann eine Verbindung zu externen Diensten herstellen.

An 38 Nachweisstellen beobachtet

Dateisystemzugriff

Kann lokale Dateien lesen oder schreiben.

An 50 Nachweisstellen beobachtet

Umgebungsvariablen

Kann Werte aus der Prozessumgebung lesen.

An 15 Nachweisstellen beobachtet

Externe Befehle

Kann Befehle oder Programme außerhalb des Skills aufrufen.

An 55 Nachweisstellen beobachtet

Elemente der Fähigkeitsprüfung (12)
Hoch
runtime/ground-truth.sh:63
Hidden file in home directory
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account diagnostic reads ~/.gemini/antigravity-cli/settings.json and prints permission policy values. This is explicit but real access to private user configuration outside the repository.
Hoch
runtime/scripts/evidence_receipt.py:1521
Python os.exec variants
os.execvpe(command[0], command, dict(os.environ))
The verifier executor replaces its process with a caller-approved command after argv validation. It avoids shell parsing, but intentionally executes project tooling with the supplied environment.
Hoch
runtime/scripts/agy_dispatch_verification.py:94
Python subprocess.Popen
process = subprocess.Popen(
This call launches the approved verifier argv with the worker's process authority. Containment and limits reduce exposure, but project verification commands can execute repository code.
Hoch
runtime/scripts/agy_dispatch.py:4673
Python subprocess.Popen
process = subprocess.Popen(
This call launches the selected Antigravity provider process with approved repository scope, environment, and network access. External execution is the skill's core security-sensitive capability.
Hoch
runtime/qa-gate.sh:623
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
Legacy verification passes a free-form verifier specification to /bin/bash -c. Any untrusted interpolation in that approved string can execute unintended shell commands.
Hoch
runtime/qa-gate.sh:639
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
Legacy verification passes a free-form verifier specification to /bin/bash -c. Any untrusted interpolation in that approved string can execute unintended shell commands.
Mittel
runtime/ground-truth.sh:63
Hidden file access
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account diagnostic reads ~/.gemini/antigravity-cli/settings.json and prints permission policy values. This is explicit but real access to private user configuration outside the repository.
Niedrig
runtime/scripts/evidence_receipt.py:1115
Python environment access
if name in os.environ:
The verifier path reads explicitly named environment variables, which may include credentials. This access is opt-in but can expose those values to an executed verifier.
Niedrig
runtime/scripts/evidence_receipt.py:1117
Python environment access
(os.fsencode(name), b"\0", os.fsencode(os.environ[name]), b"\0")
This line serializes explicitly selected environment values into a private verifier pipe. The control is deliberate, but credential values can reach verifier processes.
Niedrig
runtime/scripts/evidence_receipt.py:1521
Python environment access
os.execvpe(command[0], command, dict(os.environ))
The approved verifier command inherits the sanitized process environment through os.execvpe. Any explicitly allowed credential variables become available to that command.
Niedrig
runtime/scripts/feedback-triage.py:360
Python environment access
environment = os.environ.copy()
The GitHub feedback fetch copies the current environment before launching gh, so authentication variables can reach that networked child. The operation is explicit and metadata-only.
Niedrig
runtime/scripts/model_selection.py:98
Python environment access
environment = {name: os.environ[name] for name in allowed if name in os.environ}
The provider environment includes caller-selected variable names after validation. This intentionally permits approved environment values, including possible secrets, to reach Antigravity.

Risikofunde

Bestätigte Sicherheitsbedenken werden von Punkten getrennt, die noch überprüft werden müssen.

Für dieses abgeschlossene Audit wurden keine bestätigten Sicherheitsbefunde erfasst.

Abhilfemaßnahmen

Von diesem Audit vorgeschlagene Korrekturen wurden erfasst. Ihre Umsetzung liegt in der Verantwortung des Maintainers.

  1. FIX-001
    Hoch
    Legacy verification executes a free-form string through Bash.
    Remove legacy shell verification or require canonical argv arrays with no shell interpretation.
  2. FIX-002
    Hoch
    Provider and verifier processes can execute repository tooling with granted host authority.
    Default to native containment where supported, restrict executable paths, enforce timeouts, and require explicit approval for every environment value.
  3. FIX-003
    Hoch
    Static review was capped at 400 of 965 matches.
    Manually review the remaining 565 matches and repeat adjudication without a cap before automatic publication.
  4. FIX-004
    Mittel
    Static review capped
    Manually review the omitted 565 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  5. FIX-005
    Mittel
    Account diagnostics read Antigravity settings from the user home directory.
    Keep this action opt-in, read only documented permission fields, and redact all output before logs or reports.

Expertennachweise

Unveränderliche Subjektidentität, Scanner-Metadaten, verworfene Treffer und Nachweise auf Quellcodeebene.

Artefakt-Subjekt

Marketplace-Commit
5526951beaeca22519572a471618555839b53b05
Inhalts-Hash
2454a73046aecb0ba4b70b075453c4aa597bb5410609f68176136668b723a9df
Tree-Hash
abc9f9f0aeea90ea83550ca9d3dc7c51fb1471e92e0ce135d82964de79c51725
Skill-Pfad
skills/cagdasyurekli/agy-worker
Hash der Audit-Nutzlast
2d2ffd8c2ee903b3b8f4b419dcc47632

Analysemetadaten

Auditmodell: claude

Analysestatus: Vollständig

Der Umfang ist auf die aufgezeichneten Dateien, Zeilen, Methoden und Nachweise beschränkt. Es wird keine Ausführung in einer Laufzeitumgebung oder Sandbox beansprucht.

Verifizieren und exportieren

JSON-Bericht Signierte Audit-Bescheinigung CITATION.cff SARIF 2.1.0 Signiertes Installationsmanifest Quelle

Das Manifest und die Lockdatei binden Installationsartefakte an kryptografische Hashes. Diese Integritätsaussage ist von der Sicherheitsbewertung getrennt.

Audit-Nachweis: superseded