Dieser Bericht ist nicht in der angeforderten Sprache verfügbar. Stattdessen wird der maßgebliche englische Bericht angezeigt.

Versionierte Sicherheitsbewertung

Berichts-ID: SA-7B5F6226

9/19/2026, 10:47:19 AM

agy-worker Sicherheitsbewertung v7

Zertifizierungsbericht zur Skill-Sicherheit

Audit-Verlauf
Scanner-Version 3.0.0 Auditmodell: codex Historischer Bericht
Skillname
agy-worker
Version
v0.20.0
Betreuer
cagdasyurekli
Quelle
github.com/cagdasyurekli/codex-agy-worker/tree/3da9a50afaa66492dd77f23f92c6ed4f84be4ada/skills/agy-worker
Abdeckung
92 Gescannte Dateien · 38,537 Analysierte Zeilen
Richtlinienversion
skillstore-security-audit-policy-v1

Höchster bestätigter Schweregrad eines Befunds

Hoch

3 bestätigte Sicherheitsbefunde erfordern Aufmerksamkeit.

Installationskontext

Historische Nachweise

Dieser Bericht beschreibt möglicherweise nicht das derzeit installierbare Artefakt. Öffnen Sie die aktuelle Skill-Seite für Installationshinweise.

Aktuelle Skill-Seite öffnen

Dieser Bericht blockiert oder autorisiert weder das Manifest noch die ZIP-Datei.

The review confirmed intentional high-impact capabilities: external provider execution, repository-content transmission, verifier command execution, and limited private configuration access. Most static matches are false positives from defensive validation, documentation, compact schemas, or fixed local commands. Default session mode lacks host containment, and 589 lower-priority static matches remain outside the supplied adjudication set. Static review was capped at 400/989 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Position melden

Historischer Bericht

Öffnen Sie den Auditverlauf, bevor Sie diesen Bericht zur Installation verwenden.

Audit-Nachweis

Attestierung ersetzt

Eine neuere Attestierung existiert.

Menschliche Überprüfung

Nicht überprüft

Für diesen Bericht ist keine menschliche Überprüfung verzeichnet.

Abdeckung

92 Gescannte Dateien · 38,537 Analysierte Zeilen

15 Elemente zur Überprüfung angezeigt

Einschränkungen

Dieser Bericht beansprucht keine Laufzeit- oder Sandbox-Ausführung und beweist nicht das Fehlen von Nebenwirkungen.

Beweiskette

Folgen Sie den Nachweisen von der Quellenbindung bis zum Installationsvertrag. Verfügbare Nachweise unterstützen die Überprüfung; sie sind keine Sicherheitsgarantie.

  1. Quelle

    An Commit und Pfad gebunden

  2. Artefakt

    An Inhalts- und Baum-Hashes gebunden

  3. Prüfung

    Vollständig

  4. Installationsvertrag

    Manifest zur Überprüfung öffnen

    Manifest öffnen

Beobachtete Funktionen

„Beobachtet“ bedeutet, dass dieser Bericht unterstützende Nachweise erfasst hat. Nicht erfasst bedeutet nicht, dass eine Fähigkeit nicht vorhanden ist.

Enthält Skripte

Kann mit dem Skill enthaltenen Code ausführen.

An 22 Nachweisstellen beobachtet

Netzwerkzugriff

Kann eine Verbindung zu externen Diensten herstellen.

An 43 Nachweisstellen beobachtet

Dateisystemzugriff

Kann lokale Dateien lesen oder schreiben.

An 50 Nachweisstellen beobachtet

Umgebungsvariablen

Kann Werte aus der Prozessumgebung lesen.

An 15 Nachweisstellen beobachtet

Externe Befehle

Kann Befehle oder Programme außerhalb des Skills aufrufen.

An 56 Nachweisstellen beobachtet

Elemente der Fähigkeitsprüfung (12)
Hoch
runtime/ground-truth.sh:63
Hidden file in home directory
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase reads ~/.gemini/antigravity-cli/settings.json from the user's home directory. The action is documented and explicit, but it accesses private tool configuration.
Hoch
runtime/scripts/agy_dispatch_containment.py:777-778
Process exec
(allow process-exec
The native sandbox profile explicitly allows the provider process to execute the bound target and tools from staged and system paths. This is required functionality, but it grants meaningful command-execution authority.
Hoch
runtime/scripts/evidence_receipt.py:1521
Python os.exec variants
os.execvpe(command[0], command, dict(os.environ))
The no-shell verifier replaces the process with a caller-selected, validated argv command. Validation limits parsing attacks, but the feature intentionally executes external project tooling.
Hoch
runtime/scripts/agy_dispatch_verification.py:94
Python subprocess.Popen
process = subprocess.Popen(
This Popen launches the selected verification command inside the prepared containment profile. Verification can execute repository code, so the documented approval and isolation controls remain security-critical.
Hoch
runtime/scripts/agy_dispatch.py:4949
Python subprocess.Popen
process = subprocess.Popen(
This Popen is the live Antigravity provider launch and gives the external worker access to approved repository content. The executable and environment are bound, but provider execution remains a high-impact trust boundary.
Mittel
runtime/ground-truth.sh:63
Hidden file access
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase opens ~/.gemini/antigravity-cli/settings.json to display permission settings. This is intentional diagnostics, but it is genuine hidden-file access.
Mittel
runtime/qa-gate.sh:623
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
Shell verification passes the selected verification specification to /bin/bash -c. This intentionally supports arbitrary shell commands and therefore carries command-injection and project-code execution risk.
Mittel
runtime/qa-gate.sh:639
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The alternate gate branch also executes the selected verification specification through /bin/bash -c. The clean environment reduces exposure but does not remove arbitrary shell execution.
Niedrig
runtime/scripts/evidence_receipt.py:1115
Python environment access
if name in os.environ:
The verifier reads explicitly named values from the caller environment. The opt-in and private-pipe design reduce risk, but approved names may contain credentials.
Niedrig
runtime/scripts/evidence_receipt.py:1117
Python environment access
(os.fsencode(name), b"\0", os.fsencode(os.environ[name]), b"\0")
This line serializes approved environment values into the private verifier payload. Credential acknowledgements are enforced, but sensitive values still cross into executed verification code.
Niedrig
runtime/scripts/evidence_receipt.py:1521
Python environment access
os.execvpe(command[0], command, dict(os.environ))
The validated verifier receives the gate's environment through execvpe. The environment is sanitized and opt-in, but any approved secret becomes accessible to project tooling.
Niedrig
runtime/scripts/feedback-triage.py:360
Python environment access
environment = os.environ.copy()
Feedback triage copies the ambient environment before invoking an authenticated GitHub CLI request. Fixed GitHub routing limits misuse, but the child can receive ambient GitHub credentials.

Risikofunde

Bestätigte Sicherheitsbedenken werden von Punkten getrennt, die noch überprüft werden müssen.

Bestätigte Sicherheitsbedenken (3)

RISK-001 Hoch
SKILL.md:45-50
Approved repository content is transmitted to an external provider
Scoped files or an entire approved worktree can be readable and transmissible to Google or Gemini. Digest approval reduces accidental scope changes but does not eliminate third-party disclosure.
The skill explicitly documents provider-readable content, whole-worktree transmission, and the need to remove secrets before launch.
RISK-002 Hoch
SKILL.md:48references/SECURITY_AND_COMPATIBILITY.md:85-91
Default session isolation retains ambient user authority
The default session mode gives AGY normal user filesystem and network authority outside the staged workspace. Scope reconciliation cannot prevent unobserved reads or network activity.
Both the primary instructions and security guide state that session mode has no host containment and cannot observe access outside the stage.
RISK-003 Hoch
references/SECURITY_AND_COMPATIBILITY.md:119-142
Native mode grants broad Keychain helper and listener authority
Native mode can expose wildcard listeners and broader same-user Keychain operations through the security helper. Approval does not technically limit helper operations to one AGY token.
The security guide explicitly states that wildcard binds are possible and Keychain reads, additions, changes, and deletions may be allowed.

Abhilfemaßnahmen

Von diesem Audit vorgeschlagene Korrekturen wurden erfasst. Ihre Umsetzung liegt in der Verantwortung des Maintainers.

  1. FIX-001
    Hoch
    Session isolation is the default despite retaining normal user filesystem and network authority.
    Default to native or equivalent containment where supported. Require a separate prominent confirmation when session mode is selected.
  2. FIX-002
    Hoch
    Whole-worktree approval can expose unrelated repository content to the external provider.
    Disable whole-worktree dispatch in the marketplace build, or require scoped manifests unless every path receives explicit review.
  3. FIX-003
    Hoch
    Legacy shell verification executes caller-selected text through bash.
    Remove shell mode from the default workflow. Prefer validated argv verification and require a separate warning for any retained shell mode.
  4. FIX-004
    Hoch
    Native mode grants the security helper broader Keychain operations than token lookup requires.
    Replace helper access with a least-privilege credential handoff that cannot add, modify, delete, or enumerate unrelated Keychain items.
  5. FIX-005
    Hoch
    Static review was capped at 400 of 989 matches.
    Complete manual review of the remaining 589 matches before automatic publication or installation is enabled.
  6. FIX-006
    Mittel
    Static review capped
    Manually review the omitted 589 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.

Expertennachweise

Unveränderliche Subjektidentität, Scanner-Metadaten, verworfene Treffer und Nachweise auf Quellcodeebene.

Artefakt-Subjekt

Marketplace-Commit
7b5f6226ad3dfaed7068a68fb47e33a511a95cb3
Inhalts-Hash
6265484dddafa504df20fa1cc2033d6bbd7243ada5189f892ddd42973c8285e4
Tree-Hash
5ed1e9b7a5b0bbee6ff0542508a6ab17283522e7e176033e7531146657f8bd2c
Skill-Pfad
skills/cagdasyurekli/agy-worker
Hash der Audit-Nutzlast
2b712c7cff30f18b62689fab595c5377

Analysemetadaten

Auditmodell: codex

Analysestatus: Vollständig

Der Umfang ist auf die aufgezeichneten Dateien, Zeilen, Methoden und Nachweise beschränkt. Es wird keine Ausführung in einer Laufzeitumgebung oder Sandbox beansprucht.

Verifizieren und exportieren

JSON-Bericht Signierte Audit-Bescheinigung CITATION.cff SARIF 2.1.0 Signiertes Installationsmanifest Quelle

Das Manifest und die Lockdatei binden Installationsartefakte an kryptografische Hashes. Diese Integritätsaussage ist von der Sicherheitsbewertung getrennt.

Audit-Nachweis: superseded