Este informe no está traducido al idioma solicitado. Se muestra en su lugar el informe canónico en inglés.

Evaluación de seguridad versionada

ID del informe: SA-89BD8A87

8/31/2026, 3:49:29 PM

archify evaluación de seguridad v1

Informe de certificación de seguridad de la habilidad

Historial de auditorías

Versión del escáner 3.0.0 Modelo de auditoría: codex Informe histórico

Nombre de la habilidad: archify
Versión: v2.16
Mantenedor: tt-a1i
Fuente: github.com/tt-a1i/archify/tree/2bfb47132c057195d8dddb3e25ae966dd7c7a72e/archify
Cobertura: 190 Archivos escaneados · 144,837 Líneas analizadas
Versión de la política: skillstore-security-audit-policy-v1

Gravedad máxima de hallazgo confirmada

Medio

1 hallazgo de seguridad confirmado requiere atención.

Contexto de instalación

Evidencia histórica

Este informe podría no describir el artefacto instalable actualmente. Abra la página actual de la Skill para obtener orientación de instalación.

Abrir la página actual de la habilidad

Este informe no bloquea ni autoriza el manifiesto ni el ZIP.

Adjudication dismissed 394 of 400 presented matches as test fixtures, generated data, documentation, or bounded local tooling. Six confirmed URLs cause generated artifacts or the update workflow to contact remote hosts, and semantic review found that the updater runs automatically without prior disclosure. Static presentation was capped at 400 of 8,055 matches, so 7,655 unpresented matches require manual review before automatic publication. Static review was capped at 400/8055 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Posición del informe

Informe histórico

Abra el historial de auditorías antes de usar este informe para instalar.

Atestación de auditoría

Atestación reemplazada

Existe una atestación más reciente.

Verificación humana

No verificado

No se ha registrado ninguna verificación humana para este informe.

Cobertura

190 Archivos escaneados · 144,837 Líneas analizadas

7 elementos mostrados para revisión

Limitaciones

Este informe no afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado y no prueba la ausencia de efectos secundarios.

Cadena de evidencias

Sigue la evidencia desde la vinculación del código fuente hasta el contrato de instalación. La evidencia disponible permite la verificación; no constituye una garantía de seguridad.

Fuente

Vinculado al commit y la ruta
Artefacto

Hashes de contenido y árbol vinculados
Auditoría

Completo
Contrato de instalación

Abrir el manifiesto para verificar
Abrir el manifiesto

Capacidades observadas

Observado significa que este informe registró evidencia de respaldo. No registrado no prueba que una capacidad esté ausente.

Contiene scripts

Puede ejecutar código incluido con la habilidad.

Observado en 21 ubicaciones de evidencia

Acceso a red

Puede conectarse a servicios externos.

Observado en 51 ubicaciones de evidencia

Acceso al sistema de archivos

Puede leer o escribir archivos locales.

Observado en 49 ubicaciones de evidencia

Variables de entorno

Puede leer valores del entorno del proceso.

Observado en 33 ubicaciones de evidencia

Comandos externos

Puede invocar comandos o programas fuera de la habilidad.

Observado en 50 ubicaciones de evidencia

Elementos de revisión de capacidades (6)

Bajo

assets/template.html:36

Hardcoded URL

Opening the generated HTML initiates an external Google Fonts connection, which exposes viewer network metadata and contradicts fully self-contained offline behavior.

Bajo

assets/template.html:37

Hardcoded URL

Opening the generated HTML initiates an external Google Fonts connection, which exposes viewer network metadata and contradicts fully self-contained offline behavior.

Bajo

examples/dataflow-product-analytics.html:36

Hardcoded URL

Opening the generated HTML initiates an external Google Fonts connection, which exposes viewer network metadata and contradicts fully self-contained offline behavior.

Bajo

examples/dataflow-product-analytics.html:37

Hardcoded URL

Opening the generated HTML initiates an external Google Fonts connection, which exposes viewer network metadata and contradicts fully self-contained offline behavior.

Bajo

scripts/update-contract.mjs:3

Hardcoded URL

export const DEFAULT_MANIFEST_URL = 'https://tt-a1i.github.io/archify/skill-updates/archify/stable.j

This URL is the configured remote manifest used by the automatic update-check workflow. The check creates an outbound request after diagram authoring begins.

Bajo

skill-release.json:9

Hardcoded URL

"updateManifestUrl": "https://tt-a1i.github.io/archify/skill-updates/archify/stable.json"

This URL is the configured remote manifest used by the automatic update-check workflow. The check creates an outbound request after diagram authoring begins.

Hallazgos de riesgos

Las preocupaciones de seguridad confirmadas están separadas de los elementos que aún deben revisarse.

Preocupaciones de seguridad confirmadas (1)

RISK-001 Medio

SKILL.md:37-44 scripts/update-contract.mjs:1-3

Undisclosed Automatic Update Check

The skill directs the agent to run a packaged update checker after creating the first candidate and to hide successful or failed checks. The checker uses a remote manifest, creating an unrequested network request and local cache state.

The instruction explicitly requires the check and suppresses disclosure in normal and failure cases. The packaged contract defines the remote manifest endpoint.

Medidas correctivas

Esta auditoría registra correcciones sugeridas. Aplicarlas es responsabilidad de la persona encargada del mantenimiento.

FIX-001
Medio
Static review capped

Manually review the omitted 7655 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
FIX-002
Medio
The skill requires an update check without prior disclosure and hides check failures.

Require explicit user consent before the first network check, disclose the endpoint and cache path, and report failures without blocking diagram work.
FIX-003
Bajo
Generated HTML contacts Google Fonts when opened.

Bundle the required font files inside each artifact or use a system font stack with no external stylesheet or preconnect.

Evidencia experta

Identidad inmutable del sujeto, metadatos del escáner, coincidencias descartadas y evidencia a nivel de código fuente.

Sujeto del artefacto

Commit de Marketplace: 89bd8a87889f0950b8a212b5e35d18b123fa65c4
Hash del contenido: 5bf0cac8cfb50608941f3a0ff66a5e76837662e2dd05ce406297f8c59a740e6a
Hash del árbol: 4ea342b53984b10b0c5c156ae808df84296482156e6cb6dd11405cbfbabc2438
Ruta del Skill: skills/tt-a1i/archify
Hash de la carga de auditoría: 86e6f63358570dda7c8444b5baa63c8f

Metadatos del análisis

Modelo de auditoría: codex

Estado del análisis: Completo

El alcance se limita a los archivos, líneas, métodos y pruebas registrados. No se afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado.

Verificar y exportar

Informe JSON Atestación de auditoría firmada CITATION.cff SARIF 2.1.0 Manifiesto de instalación firmado Fuente

El manifiesto y el archivo de bloqueo vinculan los artefactos de instalación a hashes criptográficos. Esta afirmación de integridad es independiente de la evaluación de seguridad.

Atestación de auditoría: superseded