このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-E5464E66

9/6/2026, 12:11:18 PM

agy-worker セキュリティ評価 v5

スキルセキュリティ認証レポート

監査履歴
スキャナーバージョン 3.0.0 監査モデル: codex 過去のレポート
スキル名
agy-worker
バージョン
v0.17.0
メンテナー
cagdasyurekli
ソース
github.com/cagdasyurekli/codex-agy-worker/tree/3da9a50afaa66492dd77f23f92c6ed4f84be4ada/skills/agy-worker
カバレッジ
92 スキャンされたファイル · 37,454 解析済み行数
ポリシーバージョン
skillstore-security-audit-policy-v1

確認済みの検出結果における最高重大度

高

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

All 400 presented static findings were adjudicated individually. Most matches are benign validation, documentation, schema, or bounded orchestration patterns, but account configuration access and legacy shell verification are confirmed risks. The skill also explicitly allows provider execution with normal filesystem and network authority in session mode, so operators must treat it as a delegation tool rather than a sandbox. Static review was capped at 400/962 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明は置き換えられました

より新しい証明が存在します。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

92 スキャンされたファイル · 37,454 解析済み行数

レビュー対象の項目を 5 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

22 件の証拠箇所で確認

ネットワークアクセス

外部サービスに接続する場合があります。

37 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

50 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

15 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

52 件の証拠箇所で確認

機能レビュー項目 (4)
高
runtime/ground-truth.sh:63
Hidden file in home directory
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The account phase reads ~/.gemini/antigravity-cli/settings.json and reports its permission configuration. This is an intentional account inspection, but it accesses user-owned configuration outside the worktree.
高
runtime/ground-truth.sh:63
Hidden file access
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The account phase reads ~/.gemini/antigravity-cli/settings.json and reports its permission configuration. This is an intentional account inspection, but it accesses user-owned configuration outside the worktree.
高
runtime/qa-gate.sh:623
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The legacy shell verifier executes verify_specs through /bin/bash -c. An untrusted verifier specification can therefore run arbitrary commands, even though this mode is explicitly selected by the driver.
高
runtime/qa-gate.sh:639
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The legacy shell verifier executes verify_specs through /bin/bash -c. An untrusted verifier specification can therefore run arbitrary commands, even though this mode is explicitly selected by the driver.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 高
SKILL.md:49-51
Unconfined Provider Execution
The skill states that whole-worktree content may be transmitted to Google or Gemini and that session mode gives AGY normal user filesystem and network authority. A provider task can therefore affect or disclose resources beyond the intended worktree unless the operator uses scoped content and stronger containment.
The documented execution boundary explicitly says the entire worktree may be readable and transmissible, while session mode has no AGY sandbox or native host containment.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    重大
    Default session mode retains normal user filesystem and network authority for the provider.
    Prefer scoped transmission and native containment where supported, and require explicit approval that names the provider, execution mode, readable content, and destination.
  2. FIX-002
    高
    Approved worktree content can include secrets, credentials, private keys, or unrelated private files.
    Run a secret and private-path scan before every launch, exclude sensitive entries from the approved scope, and fail closed when the scan is inconclusive.
  3. FIX-003
    高
    Legacy verifier mode executes caller-supplied text through /bin/bash -c.
    Disable legacy shell verification by default and require a separate high-risk acknowledgement, or accept only canonical argv records with an executable allowlist.
  4. FIX-004
    高
    Compatibility manifests reference external CLI distribution URLs.
    Pin each download to an immutable digest, verify signatures or checksums before execution, and review manifest changes as supply-chain updates.
  5. FIX-005
    中
    Static review capped
    Manually review the omitted 562 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
e5464e662405de6361fdde6b984f9ea865635f64
コンテンツハッシュ
3d138378c67980113003cc9307c51d1b54cf24091ed95b0b2ee7d88174247bee
ツリーハッシュ
ae8aee1e8340badcb3d529ebcf1a879dc8cebb6f4145f9acdf9a97d4ce8fab83
Skill パス
skills/cagdasyurekli/agy-worker
監査ペイロードハッシュ
62a79c7608d1f13565f15b5e2679599b

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート 署名付き監査証明 CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: superseded