スキル blocklet-updater

📦

blocklet-updater

Name: blocklet-updater
Author: ArcBlock

コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス

Blockletプロジェクトを確実にリリース

Blockletのリリースには、バージョン、changelog、build、metadata、bundleの確認が必要です。このskillは、そのリリースワークフローをClaude、Codex、またはClaude Codeに案内します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "blocklet-updater" from https://skillstore.io/skills/arcblock-blocklet-updater.md and its manifest at https://skillstore.io/api/skills/arcblock-blocklet-updater/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/arcblock-blocklet-updater.md 署名済み manifest GET /api/skills/arcblock-blocklet-updater/manifest 署名済み lockfile GET /api/skills/arcblock-blocklet-updater/lockfile

テストする

「blocklet-updater」を使用しています。 Bump and bundle this Blocklet.

期待される結果:

アシスタントはversion bump方法を特定し、プロジェクトscriptを実行する前に確認を求め、metadataを検証し、作成されたbundleの場所を報告します。

「blocklet-updater」を使用しています。 The build output changed from dist to build.

期待される結果:

アシスタントは生成されたエントリポイントを確認し、適切な場合はblocklet.yml mainを更新し、ファイル変更を説明します。

「blocklet-updater」を使用しています。 This project has no build script.

期待される結果:

アシスタントはinstallとbuildの手順をスキップし、ルートのindex.htmlエントリポイントを検証してから、metadataとbundleの確認を実行します。

セキュリティ監査

高リスク

v12 • 2026/7/9 バージョン別レポートを開く

The audit found many static matches caused by Markdown formatting and read-only project checks, and those were dismissed. Real risk remains because the skill automatically runs project-defined version and build scripts, and it includes an instruction that suppresses final user-visible reporting.

スキャンされたファイル

356

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (2)

高

SKILL.md:245

Prompt Injection Attempt Detected

The skill says "Do NOT output any summary or recap after completion" and tells the agent to end silently. This can suppress user-visible reporting after commands modify and bundle a project.

The text is an explicit agent-facing output suppression instruction. It does not target this audit, but it can reduce transparency after release automation.

中

SKILL.md:18-26 SKILL.md:61-67 SKILL.md:69-73 SKILL.md:195-203

Automatic Execution of Project-Defined Scripts

The workflow chooses Makefile and package.json scripts before the Blocklet CLI fallback, then runs the selected command. A malicious repository can place arbitrary release logic in those scripts.

The skill explicitly selects repository-defined version and build scripts and then runs them. This is expected release behavior, but it is risky for untrusted projects.

機能レビュー項目 (13)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

中

SKILL.md:14

Ruby/shell backtick execution

Check for project-specific version update scripts before falling back to `blocklet version patch`.

The workflow prioritizes Makefile or package.json release scripts and later runs the selected command. In an untrusted repository these project-controlled scripts can execute arbitrary code during a version bump.

中

SKILL.md:22

Ruby/shell backtick execution

| 1 | Makefile has `bump-version` target | `make bump-version` |

中

SKILL.md:23

Ruby/shell backtick execution

| 2 | package.json has `bump-version` script | `pnpm run bump-version` |

中

SKILL.md:24

Ruby/shell backtick execution

| 3 | package.json has `version` script | `pnpm run version` |

中

SKILL.md:25

Ruby/shell backtick execution

| 4 | lerna.json exists | `lerna version patch --yes` |

The command runs Lerna version automation with --yes, which can modify project files and invoke repository release tooling. It is legitimate release behavior, but it executes external project tooling without an explicit confirmation step.

中

SKILL.md:30-59

Ruby/shell backtick execution

```bash

This section builds the command selection logic from repository files before execution. The command list includes project-defined scripts, so a malicious repository can influence what code runs.

中

SKILL.md:59-65

Ruby/shell backtick execution

```

The workflow instructs the agent to run the detected command variable. Because earlier detection can select project-defined scripts, this is real command execution risk in untrusted repositories.

中

SKILL.md:65-67

Ruby/shell backtick execution

```bash

The workflow instructs the agent to run the detected command variable. Because earlier detection can select project-defined scripts, this is real command execution risk in untrusted repositories.

中

SKILL.md:67-69

Ruby/shell backtick execution

```

The text explicitly notes that project-specific scripts may call additional tooling scripts. That confirms the workflow expects indirect command execution beyond the visible command name.

中

SKILL.md:69-70

Ruby/shell backtick execution

**Important**: Project-specific scripts (like `make bump-version`) often:

The text explicitly notes that project-specific scripts may call additional tooling scripts. That confirms the workflow expects indirect command execution beyond the visible command name.

中

SKILL.md:71-85

Ruby/shell backtick execution

- Auto-generate `CHANGELOG.md` entries

The text explicitly notes that project-specific scripts may call additional tooling scripts. That confirms the workflow expects indirect command execution beyond the visible command name.

中

SKILL.md:195

Ruby/shell backtick execution

Check if `package.json` exists and contains a `build` script.

The workflow runs pnpm install and pnpm run build when package.json exposes a build script. Dependency lifecycle hooks and build scripts are project-controlled and can execute arbitrary commands.

中

SKILL.md:201-203

Ruby/shell backtick execution

```bash

The workflow runs pnpm install and pnpm run build when package.json exposes a build script. Dependency lifecycle hooks and build scripts are project-controlled and can execute arbitrary commands.

リスク要因

⚙️ 外部コマンド (50)

📁 ファイルシステムへのアクセス (6)

SKILL.md:32 SKILL.md:38 SKILL.md:45 SKILL.md:87 SKILL.md:91 SKILL.md:164

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/arcblock-blocklet-updater/audits/12?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/arcblock-blocklet-updater/security.svg)](https://skillstore.io/skills/arcblock-blocklet-updater?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/arcblock-blocklet-updater?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/arcblock-blocklet-updater/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/arcblock-blocklet-updater.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

ArcBlock. (2026). blocklet-updater security audit report (audit version 12) [Author version unspecified]. Skillstore. https://skillstore.io/skills/arcblock-blocklet-updater/audits/12

BibTeX形式の引用

@techreport{arcblock-arcblock-blocklet-updater-2026,
  author = {ArcBlock},
  title = {blocklet-updater security audit report (audit version 12)},
  institution = {Skillstore},
  year = {2026},
  number = {12},
  url = {https://skillstore.io/skills/arcblock-blocklet-updater/audits/12},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "blocklet-updater security audit report (audit version 12)"
version: "unspecified"
type: report
authors:
  - name: "ArcBlock"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/arcblock-blocklet-updater/audits/12"
identifiers:
  - type: other
    value: "skillstore:arcblock-blocklet-updater:audit:12"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

Blockletリリースを準備する

プロジェクトバージョンを上げ、metadataを検証し、assetをbuildしてrelease bundleを作成します。

リリースmetadataを修復する

bundle化する前に、changelogエントリ、出力ディレクトリ、blocklet.yml mainを確認します。

静的Blockletアプリをbundle化する

build scriptが存在しない場合はbuild手順をスキップし、index.htmlエントリポイントを持つ静的プロジェクトをbundle化します。

これらのプロンプトを試す

release bundleを作成する

このBlockletプロジェクトの新しいrelease bundleを作成してください。各コマンドを実行する前に確認してください。

バージョンを上げて検証する

Blocklet versionを上げてから、build前にchangelogエントリとblocklet.yml versionを検証してください。

出力設定を修正する

このBlockletをbuildし、生成されたindex.htmlを見つけて、blocklet.yml mainを出力ディレクトリに合わせてください。

リリース準備状況を監査する

コマンドを実行せずにリリースワークフローを確認してください。検出されたversion方法、build手順、metadataチェック、リスクを一覧化してください。

ベストプラクティス

skillに実行を許可する前に、Makefileとpackage scriptsを確認してください。
リリース変更を確認しやすくするため、クリーンなworking treeでワークフローを実行してください。
リリース成果物を共有する前に、生成されたbundleとmetadataを確認してください。

回避

scriptを先に読まずに、信頼できないリポジトリでskillを実行すること。
失敗したinstall、build、metadata、またはbundleコマンドを無視して手動で続行すること。
blocklet.yml mainが生成されたエントリポイントと一致していることを確認する前にbundle化すること。

よくある質問

このskillはリリースを公開しますか？

いいえ。release bundleは作成しますが、uploadやdeployは行いません。

build scriptなしで動作できますか？

はい。プロジェクトが静的または事前build済みの場合、build手順をスキップできます。

どのファイルを調査しますか？

Makefile、package.json、CHANGELOG.md、blocklet.yml、生成されたindex.htmlファイルなどのプロジェクトファイルを確認します。

なぜコマンドを先に確認すべきですか？

versionとbuildのscriptはプロジェクト由来であり、任意のローカルコマンドを実行できるためです。

changelogの問題を修正できますか？

最新のchangelog versionが存在しない、誤っている、または空の場合に、更新を案内できます。

どのAIツールで使用できますか？

レポートにはClaude、Codex、Claude Codeのサポートが記載されています。

開発者情報

作成者

ArcBlock

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/ArcBlock/agent-skills/tree/main/plugins/blocklet/skills/blocklet-updater

参照

3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88

メンテナンスの新しさ

2026/7/26

利用状況

6 ダウンロード · 262 閲覧

ファイル構成

📄 errors.md

プロジェクトを安全に GitHub へプッシュ

作成者 yunshu0909

ローカルプロジェクトを公開すると、大きなファイル、シークレット、未整理の Git 履歴が露出する可能性があります。このスキルは、Claude、Codex、Claude Code に対して、チェック、確認、リリース手順を含む GitHub プッシュワークフローを案内します。

DevOps＆インフラ表示

blocklet-updater

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (2)

リスク要因

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

Blockletリリースを準備する

リリースmetadataを修復する

静的Blockletアプリをbundle化する

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

ArcBlock のその他のスキル

blocklet-converter

関連スキル

release-skills

releasing-versions

marketplace-release

git-workflow-and-versioning

task-runner

git-push