📦

qryma-search

Name: qryma-search
Author: qryma-ai

Révision du contenu r1 Risque élevé 🔑 Variables d’environnement🌐 Accès réseau📁 Accès au système de fichiers⚙️ Commandes externes

Rechercher sur le Web avec Qryma

Trouver des informations Web à jour peut être lent lorsqu’un assistant ne dispose d’aucun chemin de recherche. Cette skill envoie des requêtes à Qryma et renvoie des résultats structurés ou lisibles.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "qryma-search" from https://skillstore.io/skills/qryma-ai-qryma-search.md and its manifest at https://skillstore.io/api/skills/qryma-ai-qryma-search/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/qryma-ai-qryma-search.md manifest signé GET /api/skills/qryma-ai-qryma-search/manifest lockfile signé GET /api/skills/qryma-ai-qryma-search/lockfile

Tester

Utilisation de « qryma-search ». Recherche des guides pratiques pour apprendre Python.

Résultat attendu:

Une liste Markdown numérotée de résultats de recherche avec les titres des pages, les liens et des descriptions concises.

Utilisation de « qryma-search ». Recherche les discussions actuelles sur les API de recherche IA.

Résultat attendu:

Un ensemble compact de titres de résultats et d’URL pouvant être comparés avant de rédiger une note de recherche.

Utilisation de « qryma-search ». Trouve des sources sur les paramètres de recherche sécurisée pour un workflow de recherche Web.

Résultat attendu:

Un résumé orienté sources qui met en évidence les pages pertinentes et l’utilisation probable de chaque résultat.

Audit de sécurité

Risque élevé

v7 • 05/07/2026 Ouvrir le rapport versionné

The skill is a legitimate Qryma web-search wrapper, but it performs real network egress and handles API credentials. Confirmed risks include API key loading from environment and .env files, transmission of the key in an outbound header, a configurable endpoint that can redirect credentials, and documentation that encourages sharing keys with an AI assistant.

Fichiers analysés

770

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (9)

Élevé

README.md:39

Environment file access

# Method 2: Create .env file

The documentation shows storing QRYMA_API_KEY in shell environment state or a plaintext .env file. This is a common setup method, but it creates a real local secret-exposure risk if history or files are not protected.

Élevé

README.md:40

Environment file access

echo 'QRYMA_API_KEY=ak-your-api-key-here' > .env

Élevé

scripts/search_core.py:29

Environment file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:31

Environment file access

env_path = ".env"

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:55

Environment file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:57

Environment file access

env_path = ".env"

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

SKILL.md:66

Environment file access

Create `.env` file:

Élevé

README.md:20-30 SKILL.md:44-55

API Key Sharing Guidance Risks Secret Disclosure

README.md and SKILL.md tell users to ask an AI assistant to configure QRYMA_API_KEY. If users replace the placeholder with a real key, the secret can be stored in chat logs, tool transcripts, or third-party systems.

The documentation explicitly connects QRYMA_API_KEY setup with asking an AI assistant to configure it. This is a clear social-engineering risk for credential exposure.

Afficher les 9 problèmes confirmés

Élevé

scripts/search_core.py:47-71 scripts/search_core.py:112-119

Configurable Endpoint Can Receive API Key

scripts/search_core.py loads QRYMA_ENDPOINT from the environment or .env files, then sends self.api_key in the X-Api-Key header to that endpoint. A modified endpoint can receive both user queries and the API key.

The data flow is visible in the source: endpoint configuration is loaded before the request is built, and the API key is attached to the request headers.

Éléments d’évaluation des capacités (35)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

main_claw.py:35

Generic API/secret keys

adapter = QrymaAdapter(api_key=getattr(args, "api_key", None))

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

main_claw.py:41

Generic API/secret keys

api_key = event.get("api_key") if isinstance(event, dict) else None

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

main_claw.py:42

Generic API/secret keys

adapter = QrymaAdapter(api_key=api_key)

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

README.md:21

Generic API/secret keys

Get your free QRYMA_API_KEY from [qryma.com](https://qryma.com/). Chat with your AI assistant and as

The documentation tells users to provide QRYMA_API_KEY through an AI assistant prompt or similar chat flow. That can disclose a real API key into chat logs, tool transcripts, or third-party model systems.

Élevé

README.md:24

Generic API/secret keys

Please configure qryma search with the QRYMA_API_KEY set to ak-your-api-key-here.

Élevé

README.md:27

Generic API/secret keys

从[qryma.com](https://qryma.com/) 获取免费的QRYMA_API_KEY,直接发送给你的AI助手,让他帮你自动配置。

Élevé

README.md:30

Generic API/secret keys

请帮我配置好qryma search,设置QRYMA_API_KEY为ak-your-api-key-here

Élevé

README.md:37

Generic API/secret keys

export QRYMA_API_KEY="ak-your-api-key-here"

Élevé

README.md:40

Generic API/secret keys

echo 'QRYMA_API_KEY=ak-your-api-key-here' > .env

Élevé

scripts/adapters/adapter.py:28

Generic API/secret keys

adapter = QrymaAdapter(api_key=getattr(args, "api_key", None))

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

scripts/adapters/adapter.py:73

Generic API/secret keys

def __init__(self, core: QrymaSearchCore = None, api_key: str = None):

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

scripts/adapters/adapter.py:77

Generic API/secret keys

self.core = QrymaSearchCore(api_key=api_key)

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

scripts/search_core.py:29

Hidden file in home directory

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:55

Hidden file in home directory

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:29

Hidden file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:55

Hidden file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:19

Python environment access

key = os.environ.get("QRYMA_API_KEY")

The code reads QRYMA_API_KEY from the process environment for use as a credential. This is expected for the skill, but it is still real environment-secret access.

Élevé

scripts/search_core.py:19

Generic API/secret keys

key = os.environ.get("QRYMA_API_KEY")

The code reads QRYMA_API_KEY from the process environment for use as a credential. This is expected for the skill, but it is still real environment-secret access.

Élevé

scripts/search_core.py:36

Generic API/secret keys

m = re.search(r"^\s*QRYMA_API_KEY\s*=\s*(.+?)\s*$", txt, re.M)

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Élevé

scripts/search_core.py:77

Generic API/secret keys

def __init__(self, api_key: Optional[str] = None, endpoint: Optional[str] = None):

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

scripts/search_core.py:78

Generic API/secret keys

self.api_key = api_key or load_key()

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Élevé

scripts/search_core.py:119

Generic API/secret keys

"X-Api-Key": self.api_key,

The code places self.api_key into the X-Api-Key header on the outbound request. This transmits a secret externally and becomes an exfiltration path if the endpoint is redirected.

Élevé

SKILL.md:46

Generic API/secret keys

Get your free QRYMA_API_KEY from [qryma.com](https://qryma.com/). Chat with your AI assistant and as

Élevé

SKILL.md:49

Generic API/secret keys

Please configure qryma search with the QRYMA_API_KEY set to ak-your-api-key-here.

Élevé

SKILL.md:52

Generic API/secret keys

从 [qryma.com](https://qryma.com/) 获取免费的 QRYMA_API_KEY,直接发送给你的 AI 助手,让他帮你自动配置。

Élevé

SKILL.md:55

Generic API/secret keys

请帮我配置好 qryma search,设置 QRYMA_API_KEY 为 ak-your-api-key-here

Élevé

SKILL.md:62

Generic API/secret keys

export QRYMA_API_KEY="ak-your-api-key-here"

Élevé

SKILL.md:68

Generic API/secret keys

QRYMA_API_KEY=ak-your-api-key-here

Moyen

scripts/search_core.py:50

Python environment access

endpoint = os.environ.get("QRYMA_ENDPOINT")

QRYMA_ENDPOINT from the environment controls the destination used for the later request. If this setting is changed unexpectedly, the API key and queries can be sent to an untrusted service.

Faible

manifest.json:107

Hardcoded URL

"default": "https://search.qryma.com/api/web"

The skill performs outbound HTTP requests to the Qryma search API and sends user search queries off-device. Network egress is expected for search, but it is a real data-transfer behavior users must understand.

Faible

scripts/search_core.py:9

Python HTTP libraries

import urllib.request

Faible

scripts/search_core.py:112

Python HTTP libraries

req = urllib.request.Request(

Faible

scripts/search_core.py:123

Python HTTP libraries

with urllib.request.urlopen(req, timeout=30) as resp:

Faible

scripts/search_core.py:14

Hardcoded URL

QRYMA_URL = "https://search.qryma.com/api/web"

Faible

scripts/search_core.py:71

Hardcoded URL

return "https://search.qryma.com/api/web"

Facteurs de risque

🔑 Variables d’environnement (32)

🌐 Accès réseau (17)

manifest.json:7 manifest.json:57 manifest.json:107 package.json:22 package.json:24 README.md:12 README.md:15 scripts/search_core.py:9 scripts/search_core.py:112 scripts/search_core.py:123 scripts/search_core.py:14 scripts/search_core.py:71 scripts/search_core.py:118 SKILL.md:12 SKILL.md:38 SKILL.md:46 SKILL.md:52

📁 Accès au système de fichiers (4)

scripts/search_core.py:29 scripts/search_core.py:55 scripts/search_core.py:29 scripts/search_core.py:55

⚙️ Commandes externes (14)

SKILL.md:17-19 SKILL.md:19-22 SKILL.md:22-24 SKILL.md:24-27 SKILL.md:27-29 SKILL.md:29-48 SKILL.md:48-50 SKILL.md:50-54 SKILL.md:54-56 SKILL.md:56-61 SKILL.md:61-63 SKILL.md:63-66 SKILL.md:66-67 SKILL.md:67-69

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/qryma-ai-qryma-search/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/qryma-ai-qryma-search/security.svg)](https://skillstore.io/skills/qryma-ai-qryma-search?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/qryma-ai-qryma-search?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/qryma-ai-qryma-search/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/qryma-ai-qryma-search.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

qryma-ai. (2026). qryma-search security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/qryma-ai-qryma-search/audits/7

Citation BibTeX

@techreport{qryma-ai-qryma-ai-qryma-search-2026,
  author = {qryma-ai},
  title = {qryma-search security audit report (audit version 7)},
  institution = {Skillstore},
  year = {2026},
  number = {7},
  url = {https://skillstore.io/skills/qryma-ai-qryma-search/audits/7},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "qryma-search security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
  - name: "qryma-ai"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/qryma-ai-qryma-search/audits/7"
identifiers:
  - type: other
    value: "skillstore:qryma-ai-qryma-search:audit:7"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Collecter des liens de sources

Trouver des pages Web pertinentes pour un sujet et renvoyer des résultats Markdown concis à examiner.

Ajouter la recherche aux workflows d’agents

Donner à un assistant une commande répétable pour la recherche Web avec des formats de résultats configurables.

Vérifier les signaux de marché ou de produit

Rechercher des pages récentes sur des concurrents, des produits ou des tendances avant de rédiger un résumé.

Essayez ces prompts

Rechercher un sujet

Utilise qryma-search pour rechercher {topic}. Renvoie cinq résultats Markdown avec des titres, des liens et de courts extraits.

Trouver du contexte récent

Recherche sur le Web des informations récentes sur {subject}. Résume les résultats les plus pertinents et inclue les liens sources.

Comparer les sources

Recherche {question} avec jusqu’à dix résultats. Regroupe les résultats par point de vue, type de source et utilité.

Effectuer une recherche filtrée

Recherche {query} avec la langue {language}, le mode {fulltext_or_snippet}, la recherche sécurisée {on_or_off} et {max_results} résultats. Renvoie les conclusions dans le format que je demande.

Bonnes pratiques

Utiliser un magasin de secrets géré ou une variable d’environnement protégée pour QRYMA_API_KEY.
Poser des questions de recherche ciblées et demander des liens sources pour un examen ultérieur.
Utiliser la sortie Markdown pour la lecture et la sortie structurée pour le traitement en aval.

Éviter

Ne collez pas de vraies clés API dans des prompts de chat ou des transcriptions partagées.
N’utilisez pas cette skill pour des requêtes privées ou réglementées sans examiner la gestion des données par Qryma.
Ne considérez pas les extraits de recherche comme des faits vérifiés sans vérifier les sources liées.