Dieser Bericht ist nicht in der angeforderten Sprache verfügbar. Stattdessen wird der maßgebliche englische Bericht angezeigt.

Versionierte Sicherheitsbewertung

Berichts-ID: SA-64CA8AF0

7/8/2026, 1:32:43 PM

notebooklm Sicherheitsbewertung v4

Zertifizierungsbericht zur Skill-Sicherheit

Audit-Verlauf
Auditmodell: codex Historischer Bericht
Skillname
notebooklm
Version
v4
Betreuer
ZhanlinCui
Quelle
github.com/ZhanlinCui/Ultimate-Agent-Skills-Collection/tree/main/notebooklm
Abdeckung
15 Gescannte Dateien · 3,425 Analysierte Zeilen
Richtlinienversion
Nicht verfügbar

Höchster bestätigter Schweregrad eines Befunds

Hoch

4 bestätigte Sicherheitsbefunde erfordern Aufmerksamkeit.

Installationskontext

Historische Nachweise

Dieser Bericht beschreibt möglicherweise nicht das derzeit installierbare Artefakt. Öffnen Sie die aktuelle Skill-Seite für Installationshinweise.

Aktuelle Skill-Seite öffnen

Dieser Bericht blockiert oder autorisiert weder das Manifest noch die ZIP-Datei.

Executable scripts use subprocess to set up an environment, install dependencies, install browser binaries, and run local scripts. Many Markdown detections are false positives, but the real code still stores session state and automates Google NotebookLM. Before publication, add explicit consent, URL validation, credential storage protections, and command allowlisting.

Position melden

Historischer Bericht

Öffnen Sie den Auditverlauf, bevor Sie diesen Bericht zur Installation verwenden.

Audit-Nachweis

Nicht bescheinigungsfähig

Die erforderliche unveränderliche Bindung ist unvollständig.

Menschliche Überprüfung

Nicht überprüft

Für diesen Bericht ist keine menschliche Überprüfung verzeichnet.

Abdeckung

15 Gescannte Dateien · 3,425 Analysierte Zeilen

20 Elemente zur Überprüfung angezeigt

Einschränkungen

Dieser Bericht beansprucht keine Laufzeit- oder Sandbox-Ausführung und beweist nicht das Fehlen von Nebenwirkungen.

Beweiskette

Folgen Sie den Nachweisen von der Quellenbindung bis zum Installationsvertrag. Verfügbare Nachweise unterstützen die Überprüfung; sie sind keine Sicherheitsgarantie.

  1. Quelle

    Bindung nicht verfügbar

  2. Artefakt

    Identität unvollständig

  3. Prüfung

    Vollständig

  4. Installationsvertrag

    Manifest zur Überprüfung öffnen

    Manifest öffnen

Beobachtete Funktionen

„Beobachtet“ bedeutet, dass dieser Bericht unterstützende Nachweise erfasst hat. Nicht erfasst bedeutet nicht, dass eine Fähigkeit nicht vorhanden ist.

Enthält Skripte

Kann mit dem Skill enthaltenen Code ausführen.

Durch dieses Audit nicht erfasst

Netzwerkzugriff

Kann eine Verbindung zu externen Diensten herstellen.

An 17 Nachweisstellen beobachtet

Dateisystemzugriff

Kann lokale Dateien lesen oder schreiben.

An 18 Nachweisstellen beobachtet

Umgebungsvariablen

Kann Werte aus der Prozessumgebung lesen.

An 1 Nachweisstelle beobachtet

Externe Befehle

Kann Befehle oder Programme außerhalb des Skills aufrufen.

An 78 Nachweisstellen beobachtet

Elemente der Fähigkeitsprüfung (16)
Hoch
scripts/__init__.py:53
Python subprocess.run
subprocess.run(
On import, the package runs pip install against requirements.txt in the skill venv. Automatic dependency installation executes external package code and is a real supply-chain risk.
Hoch
scripts/__init__.py:65
Python subprocess.run
subprocess.run(
On import, the package runs patchright browser installation through subprocess. This downloads and executes external setup commands as a side effect.
Hoch
scripts/run.py:38
Python subprocess.run
result = subprocess.run([sys.executable, str(setup_script)])
run.py automatically invokes setup_environment.py when the venv is missing. That bootstrap path can install dependencies and browser binaries before the requested task runs.
Hoch
scripts/run.py:91
Python subprocess.run
result = subprocess.run(cmd)
run.py executes a command built from the requested script name and arguments. It is scoped to the scripts directory, but there is no explicit allowlist before subprocess execution.
Hoch
scripts/setup_environment.py:54
Python subprocess.run
subprocess.run(
The setup code upgrades pip through subprocess. This is intended setup behavior, but it executes package-management commands from skill code.
Hoch
scripts/setup_environment.py:62
Python subprocess.run
result = subprocess.run(
The setup code installs requirements.txt through pip. Installing dependencies at runtime is a real external code execution and supply-chain risk.
Hoch
scripts/setup_environment.py:75
Python subprocess.run
subprocess.run(
The setup code runs patchright install chrome through subprocess. This downloads browser binaries and extends the local execution surface.
Hoch
scripts/setup_environment.py:132
Python subprocess.run
result = subprocess.run(cmd)
setup_environment.py can run a requested script through the venv Python. This is local command execution selected at runtime.
Mittel
scripts/auth_manager.py:177
Python file write/append
with open(self.auth_info_file, 'w') as f:
The skill writes authentication metadata to a local auth_info file. The path is scoped, but it persists account-related state on disk.
Mittel
scripts/auth_manager.py:204
Python shutil operations
shutil.rmtree(self.browser_state_dir)
clear_auth removes the browser state directory with shutil.rmtree. The path is scoped to skill data, but it is a destructive operation over stored session material.
Mittel
scripts/cleanup_manager.py:173
Python shutil operations
shutil.rmtree(path)
The cleanup command deletes discovered data paths with shutil.rmtree. It is scoped and usually confirmed, but it can remove browser state, sessions, and library data.
Mittel
scripts/notebook_manager.py:58
Python file write/append
with open(self.library_file, 'w') as f:
The library manager writes notebook URLs and metadata to disk. The file is scoped, but it persists user research context and access URLs locally.
Niedrig
scripts/ask_question.py:80
Hardcoded URL
page.wait_for_url(re.compile(r"^https://notebooklm\.google\.com/"), timeout=10000)
The code validates that navigation reaches notebooklm.google.com during a query. This is intended, but it confirms external Google network access for user questions and notebooks.
Niedrig
scripts/auth_manager.py:114
Hardcoded URL
page.goto("https://notebooklm.google.com", wait_until="domcontentloaded")
The authentication flow opens notebooklm.google.com in a persistent browser context. This is intended, but it sends browser traffic to an external Google service.
Niedrig
scripts/auth_manager.py:129
Hardcoded URL
page.wait_for_url(re.compile(r"^https://notebooklm\.google\.com/"), timeout=timeout_ms)
The login flow waits for a NotebookLM URL after Google authentication. This confirms external network use tied to a user account.
Niedrig
scripts/auth_manager.py:260
Hardcoded URL
page.goto("https://notebooklm.google.com", wait_until="domcontentloaded", timeout=30000)
The validation flow opens notebooklm.google.com to check stored authentication. This is intended, but it uses external network access with saved browser state.

Risikofunde

Bestätigte Sicherheitsbedenken werden von Punkten getrennt, die noch überprüft werden müssen.

Bestätigte Sicherheitsbedenken (4)

RISK-001 Hoch
scripts/auth_manager.py:160-165SKILL.md:193-198
Persistent Google Session Storage
The skill saves browser storage state for NotebookLM authentication and documents browser cookies and session data in local skill storage. This keeps Google session material on disk and increases exposure if local files are read.
auth_manager.py directly saves browser storage state to disk, and SKILL.md identifies browser cookies and session storage. This is clear persistent credential-adjacent material.
RISK-002 Hoch
scripts/ask_question.py:40-47scripts/ask_question.py:75-80scripts/notebook_manager.py:63-99
Unvalidated Notebook URL Opened With Authenticated Browser
The question interface accepts a notebook URL and opens it in the browser before the NotebookLM domain wait succeeds. A malicious or mistaken URL can load in an authenticated browser profile before validation fails.
The URL is supplied by arguments or library metadata and page.goto runs before domain enforcement. The risk is bounded by browser origin controls but still exposes the authenticated browser session to arbitrary navigation.
RISK-003 Hoch
scripts/setup_environment.py:70-76SKILL.md:202-207scripts/ask_question.py:103-115
Stealth Browser Automation Against Google NotebookLM
The skill installs a browser for Patchright anti-detection use, configures stealth-related settings, and simulates human typing. This increases abuse and account-policy risk for an external Google service.
The comments and configuration explicitly reference anti-detection and stealth behavior, and ask_question.py uses human-like typing and delay logic. The intent is clear even though it supports the stated feature.
RISK-004 Mittel
scripts/ask_question.py:29-37scripts/ask_question.py:165-167SKILL.md:128-141
Tool Output Can Steer Agent Follow-Up Behavior
The skill appends a strong follow-up instruction to NotebookLM answers and tells the agent to stop, analyze, and ask more questions before responding. NotebookLM answers originate from uploaded documents, so source content can influence agent control flow unless treated as untrusted.
The follow-up instruction is explicit in both code and skill instructions. I did not find a malicious prompt injection string, but the design creates a reliable path for untrusted source text to affect agent behavior.

Abhilfemaßnahmen

Von diesem Audit vorgeschlagene Korrekturen wurden erfasst. Ihre Umsetzung liegt in der Verantwortung des Maintainers.

  1. FIX-001
    Hoch
    Automatic subprocess setup and runtime script execution
    Ask before dependency or browser installation. Remove import-time setup and allowlist script names in run.py.
  2. FIX-002
    Hoch
    Persistent Google browser session data on disk
    Use OS keychain or encrypted storage. Restrict file permissions and add clear cleanup controls.
  3. FIX-003
    Hoch
    Notebook URLs are opened before strict domain validation
    Validate URLs before page.goto. Allow only https://notebooklm.google.com/notebook/ unless the user approves another target.
  4. FIX-004
    Hoch
    Stealth and anti-detection browser automation
    Remove anti-detection behavior where possible. Disclose browser automation and avoid bypassing service automation checks.
  5. FIX-005
    Mittel
    NotebookLM responses can influence agent follow-up behavior
    Treat NotebookLM answers as untrusted source content. Ensure tool output cannot override higher-priority instructions.
  6. FIX-006
    Mittel
    Cleanup commands can delete local state
    Keep cleanup behind confirmation. Show exact paths before deletion and avoid force mode by default.

Expertennachweise

Unveränderliche Subjektidentität, Scanner-Metadaten, verworfene Treffer und Nachweise auf Quellcodeebene.

Artefakt-Subjekt

Marketplace-Commit
Nicht verfügbar
Inhalts-Hash
Nicht verfügbar
Tree-Hash
Nicht verfügbar
Skill-Pfad
Nicht verfügbar
Hash der Audit-Nutzlast
Nicht verfügbar

Analysemetadaten

Auditmodell: codex

Analysestatus: Vollständig

Der Umfang ist auf die aufgezeichneten Dateien, Zeilen, Methoden und Nachweise beschränkt. Es wird keine Ausführung in einer Laufzeitumgebung oder Sandbox beansprucht.

Verifizieren und exportieren

JSON-Bericht CITATION.cff SARIF 2.1.0 Signiertes Installationsmanifest

Das Manifest und die Lockdatei binden Installationsartefakte an kryptografische Hashes. Diese Integritätsaussage ist von der Sicherheitsbewertung getrennt.

Audit-Nachweis: not_attestable