このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。
バージョン付きセキュリティ評価
レポートID: SA-7B5F6226
9/19/2026, 10:47:19 AM
agy-worker セキュリティ評価 v7
スキルセキュリティ認証レポート
スキャナーバージョン 3.0.0 監査モデル: codex 過去のレポート
- スキル名
- agy-worker
- バージョン
- v0.20.0
- メンテナー
- cagdasyurekli
- カバレッジ
- 92 スキャンされたファイル · 38,537 解析済み行数
- ポリシーバージョン
- skillstore-security-audit-policy-v1
確認済みの検出結果における最高重大度
高
3 件の確認済みセキュリティ検出結果に対応が必要です。
インストールのコンテキスト
履歴上の証拠
このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。
現在のスキルページを開くこのレポートは、マニフェストまたは ZIP をブロックも承認もしません。
The review confirmed intentional high-impact capabilities: external provider execution, repository-content transmission, verifier command execution, and limited private configuration access. Most static matches are false positives from defensive validation, documentation, compact schemas, or fixed local commands. Default session mode lacks host containment, and 589 lower-priority static matches remain outside the supplied adjudication set. Static review was capped at 400/989 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.
レポートの位置
過去のレポート
このレポートを使用してインストールする前に、監査履歴を開いてください。
監査アテステーション
証明は置き換えられました
より新しい証明が存在します。
人による検証
未検証
このレポートには人による検証は記録されていません。
カバレッジ
92 スキャンされたファイル · 38,537 解析済み行数
レビュー対象の項目を 15 件表示
制限事項
このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。
証拠チェーン
ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。
ソース
コミットとパスにバインド済み
アーティファクト
コンテンツとツリーのハッシュがバインド済み
監査
完了
確認された機能
「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。
スクリプトを含む
Skillに含まれるコードを実行する場合があります。
22 件の証拠箇所で確認
ネットワークアクセス
外部サービスに接続する場合があります。
43 件の証拠箇所で確認
ファイルシステムへのアクセス
ローカルファイルの読み取りまたは書き込みを行う可能性があります。
50 件の証拠箇所で確認
環境変数
プロセス環境から値を読み取る可能性があります。
15 件の証拠箇所で確認
外部コマンド
Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。
56 件の証拠箇所で確認
機能レビュー項目 (12)
高
Hidden file in home directory
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase reads ~/.gemini/antigravity-cli/settings.json from the user's home directory. The action is documented and explicit, but it accesses private tool configuration.
高
Process exec
(allow process-exec
The native sandbox profile explicitly allows the provider process to execute the bound target and tools from staged and system paths. This is required functionality, but it grants meaningful command-execution authority.
高
Python os.exec variants
os.execvpe(command[0], command, dict(os.environ))
The no-shell verifier replaces the process with a caller-selected, validated argv command. Validation limits parsing attacks, but the feature intentionally executes external project tooling.
高
Python subprocess.Popen
process = subprocess.Popen(
This Popen launches the selected verification command inside the prepared containment profile. Verification can execute repository code, so the documented approval and isolation controls remain security-critical.
高
Python subprocess.Popen
process = subprocess.Popen(
This Popen is the live Antigravity provider launch and gives the external worker access to approved repository content. The executable and environment are bound, but provider execution remains a high-impact trust boundary.
中
Hidden file access
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase opens ~/.gemini/antigravity-cli/settings.json to display permission settings. This is intentional diagnostics, but it is genuine hidden-file access.
中
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
Shell verification passes the selected verification specification to /bin/bash -c. This intentionally supports arbitrary shell commands and therefore carries command-injection and project-code execution risk.
中
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The alternate gate branch also executes the selected verification specification through /bin/bash -c. The clean environment reduces exposure but does not remove arbitrary shell execution.
低
Python environment access
if name in os.environ:
The verifier reads explicitly named values from the caller environment. The opt-in and private-pipe design reduce risk, but approved names may contain credentials.
低
Python environment access
(os.fsencode(name), b"\0", os.fsencode(os.environ[name]), b"\0")
This line serializes approved environment values into the private verifier payload. Credential acknowledgements are enforced, but sensitive values still cross into executed verification code.
低
Python environment access
os.execvpe(command[0], command, dict(os.environ))
The validated verifier receives the gate's environment through execvpe. The environment is sanitized and opt-in, but any approved secret becomes accessible to project tooling.
低
Python environment access
environment = os.environ.copy()
Feedback triage copies the ambient environment before invoking an authenticated GitHub CLI request. Fixed GitHub routing limits misuse, but the child can receive ambient GitHub credentials.
リスク指摘
確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。
確認済みのセキュリティ上の懸念 (3)
RISK-001 高
Approved repository content is transmitted to an external provider
Scoped files or an entire approved worktree can be readable and transmissible to Google or Gemini. Digest approval reduces accidental scope changes but does not eliminate third-party disclosure.
The skill explicitly documents provider-readable content, whole-worktree transmission, and the need to remove secrets before launch.
RISK-002 高
Default session isolation retains ambient user authority
The default session mode gives AGY normal user filesystem and network authority outside the staged workspace. Scope reconciliation cannot prevent unobserved reads or network activity.
Both the primary instructions and security guide state that session mode has no host containment and cannot observe access outside the stage.
RISK-003 高
Native mode grants broad Keychain helper and listener authority
Native mode can expose wildcard listeners and broader same-user Keychain operations through the security helper. Approval does not technically limit helper operations to one AGY token.
The security guide explicitly states that wildcard binds are possible and Keychain reads, additions, changes, and deletions may be allowed.
是正措置
この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。
- FIX-001高Session isolation is the default despite retaining normal user filesystem and network authority.Default to native or equivalent containment where supported. Require a separate prominent confirmation when session mode is selected.
- FIX-002高Whole-worktree approval can expose unrelated repository content to the external provider.Disable whole-worktree dispatch in the marketplace build, or require scoped manifests unless every path receives explicit review.
- FIX-003高Legacy shell verification executes caller-selected text through bash.Remove shell mode from the default workflow. Prefer validated argv verification and require a separate warning for any retained shell mode.
- FIX-004高Native mode grants the security helper broader Keychain operations than token lookup requires.Replace helper access with a least-privilege credential handoff that cannot add, modify, delete, or enumerate unrelated Keychain items.
- FIX-005高Static review was capped at 400 of 989 matches.Complete manual review of the remaining 589 matches before automatic publication or installation is enabled.
- FIX-006中Static review cappedManually review the omitted 589 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
専門家による証拠
不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。
アーティファクト主体
- Marketplace コミット
- 7b5f6226ad3dfaed7068a68fb47e33a511a95cb3
- コンテンツハッシュ
- 6265484dddafa504df20fa1cc2033d6bbd7243ada5189f892ddd42973c8285e4
- ツリーハッシュ
- 5ed1e9b7a5b0bbee6ff0542508a6ab17283522e7e176033e7531146657f8bd2c
- Skill パス
- skills/cagdasyurekli/agy-worker
- 監査ペイロードハッシュ
- 2b712c7cff30f18b62689fab595c5377
分析メタデータ
監査モデル: codex
分析状態: 完了
対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。
検証とエクスポート
マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。
監査アテステーション: superseded