このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-6ED9E368

8/31/2026, 11:24:38 AM

agy-worker セキュリティ評価 v3

スキルセキュリティ認証レポート

監査履歴
スキャナーバージョン 3.0.0 監査モデル: codex 過去のレポート
スキル名
agy-worker
バージョン
v0.13.0
メンテナー
cagdasyurekli
ソース
github.com/cagdasyurekli/codex-agy-worker/tree/3da9a50afaa66492dd77f23f92c6ed4f84be4ada/skills/agy-worker
カバレッジ
111 スキャンされたファイル · 34,779 解析済み行数
ポリシーバージョン
skillstore-security-audit-policy-v1

確認済みの検出結果における最高重大度

高

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Of 400 static findings, 396 are lexical false positives from schema punctuation, defensive validation, documentation, or bounded local tooling. Confirmed risks are the external AGY launch, caller-selected verifier execution, and two legacy shell-verification paths. Default provider dispatch also creates a documented high-impact repository disclosure risk unless operators use a narrow approved scope. Static review was capped at 400/889 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明は置き換えられました

より新しい証明が存在します。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

111 スキャンされたファイル · 34,779 解析済み行数

レビュー対象の項目を 5 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

20 件の証拠箇所で確認

ネットワークアクセス

外部サービスに接続する場合があります。

47 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

50 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

14 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

54 件の証拠箇所で確認

機能レビュー項目 (4)
高
runtime/scripts/evidence_receipt.py:1521
Python os.exec variants
os.execvpe(command[0], command, dict(os.environ))
os.execvpe executes a caller-selected verifier program after argv validation. Shell parsing is excluded, but an approved verifier can still execute arbitrary local code with its allowed environment.
高
runtime/scripts/agy_dispatch.py:3908
Python subprocess.Popen
process = subprocess.Popen(
This Popen launches the external AGY provider process with repository work as its operating context. Approval and executable binding reduce abuse, but provider execution and data exposure remain material risks.
中
runtime/qa-gate.sh:623
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The gate executes a caller-supplied verification specification with /bin/bash -c. Explicit legacy-shell and access acknowledgements mitigate accidental use, but approved text has full shell semantics.
中
runtime/qa-gate.sh:639
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The gate executes a caller-supplied verification specification with /bin/bash -c. Explicit legacy-shell and access acknowledgements mitigate accidental use, but approved text has full shell semantics.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 高
SKILL.md:34-44references/SECURITY_AND_COMPATIBILITY.md:14-27
Repository Content Can Reach an External Provider
Default dispatch makes the disposable worktree readable and potentially transmissible to Google or Gemini. The skill requires approval and offers scoped staging, but sensitive repository data remains exposed when operators approve broad scope.
Both files explicitly state that the full worktree may be provider-readable and potentially transmitted. They also document approval and scoped-staging mitigations.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    高
    Default dispatch can expose the complete disposable worktree to the external provider.
    Require provider scope by default and require a separate explicit override for whole-worktree transmission.
  2. FIX-002
    高
    Legacy verification evaluates caller-supplied text with bash.
    Deprecate shell verification and require canonical argv verification for marketplace installations.
  3. FIX-003
    高
    Verifier argv mode can execute any caller-selected local program.
    Require interactive confirmation for each verifier executable and keep credentials unavailable unless separately approved.
  4. FIX-004
    中
    Static review capped
    Manually review the omitted 489 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  5. FIX-005
    低
    Marketplace tool metadata lists Claude hosts while the skill documentation says they are unsupported.
    Align supported tool metadata with the documented Codex-only runtime requirement.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
6ed9e36896e8a9b54a50be448d7ebef54ac3b934
コンテンツハッシュ
71450ff8ebb8ee220a42509d80913d7049bbe95dd539b08f9ab6c5fe2772c6b2
ツリーハッシュ
4d9bf44dcbabddf52900da0055631ab72e324b6690e188af42b080a6c20f142b
Skill パス
skills/cagdasyurekli/agy-worker
監査ペイロードハッシュ
30d9d3cbe9c4468baf2ad4d676bd2701

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート 署名付き監査証明 CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: superseded