このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-BD9EED55

7/5/2026, 8:15:58 AM

dependency-auditor セキュリティ評価 v8

スキルセキュリティ認証レポート

監査履歴
監査モデル: codex 過去のレポート
スキル名
dependency-auditor
バージョン
v8
メンテナー
CuriousLearner
カバレッジ
1 スキャンされたファイル · 753 解析済み行数
ポリシーバージョン
利用不可

確認済み検出結果の概要

確認済みのセキュリティ上の指摘はありません

完了した監査では、確認済みのセキュリティ上の検出事項は記録されませんでした。これは、Skill に副作用がないことの証明ではありません。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

The skill is a legitimate dependency-auditing guide with no evidence of prompt injection or malicious data exfiltration. Most static findings are Markdown fence or documentation false positives, but several package-manager, scanner, CI, and Snyk commands are real execution risks that require user confirmation.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

1 スキャンされたファイル · 753 解析済み行数

レビュー対象の項目を 23 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    バインディングは利用できません

  2. アーティファクト

    IDが不完全

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

9 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

この監査では記録されていません

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

58 件の証拠箇所で確認

機能レビュー項目 (23)
中
Ruby/shell backtick execution
```bash
The bash block lists npm, yarn, pnpm, npx, Snyk, and audit-ci commands, including npm audit fix. These external commands can modify dependencies or contact third-party services.
中
Ruby/shell backtick execution
```bash
The bash block instructs running pip-audit, safety, and bandit against the project. This is legitimate audit behavior, but it executes local tooling and reads project files.
中
Ruby/shell backtick execution
```bash
The bash block runs Go vulnerability tools and pipes module data to nancy. This executes external tooling over project dependency data.
中
Ruby/shell backtick execution
```bash
The bash block runs bundle audit commands, including an update of the advisory database. This is legitimate but still invokes external dependency tooling.
中
Ruby/shell backtick execution
```bash
The bash block runs Maven dependency-check and Snyk. These commands execute external scanners and may contact third-party services.
中
Ruby/shell backtick execution
```bash
The bash block runs dotnet package vulnerability checks against the project. It is read-only, but still executes external tooling on local project metadata.
中
Ruby/shell backtick execution
```bash
The remediation block includes npm install and npm update commands. These commands can modify dependency manifests and lockfiles.
中
Ruby/shell backtick execution
```bash
The remediation block instructs npm install for sequelize. This can change dependency state and retrieve packages from the registry.
中
Ruby/shell backtick execution
```bash
The remediation block instructs npm update mocha and dependency resolution changes. This can alter the dependency graph and lockfiles.
中
Ruby/shell backtick execution
```bash
The remediation block instructs npm install for marked. This can change project dependencies and fetch packages from the registry.
中
Ruby/shell backtick execution
```bash
The remediation block instructs npm install for express-fileupload. This can change project dependencies and fetch packages from the registry.
中
Ruby/shell backtick execution
```javascript
The migration example includes npm install and npm uninstall commands. These package manager actions can modify the project dependency set.
中
Ruby/shell backtick execution
```bash
The bash block instructs uninstalling node-uuid and installing uuid. These package manager actions modify dependencies and lockfiles.
中
Ruby/shell backtick execution
```bash
The remediation plan runs npm install and npm test as part of a hotfix workflow. These commands change dependencies and execute project scripts.
中
Ruby/shell backtick execution
```bash
The high-priority remediation plan runs npm install, npm update, npm test, and npm run test:e2e. These commands modify dependencies and execute project scripts.
中
Ruby/shell backtick execution
```bash
The remediation plan runs npm install and npm uninstall commands. These commands alter dependency state and may require migration testing.
中
Ruby/shell backtick execution
```bash
The maintenance block runs npm update, npm outdated, and npm prune. These commands can alter installed dependencies or inspect project state.
中
Ruby/shell backtick execution
```yaml
The CI workflow example runs npm ci, npm audit, and npm outdated. This configures external command execution in automation.
中
Ruby/shell backtick execution
```bash
The pre-commit hook block runs npm audit from a shell hook. This adds automatic local command execution before commits.
中
Ruby/shell backtick execution
```bash
The continuous monitoring block installs Snyk globally, runs authentication, and sends monitoring data. This executes networked third-party tooling.
中
Unix shell invocation
#!/bin/sh
The shebang is part of a pre-commit shell hook example that runs npm audit. This is legitimate, but it configures local shell execution.
低
HTTP client library
npm install axios
The npm install command retrieves axios from the package registry. This is legitimate remediation guidance, but it requires network access.
低
HTTP client library
npm install axios@1.6.0
The npm install command retrieves axios from the package registry. This is legitimate remediation guidance, but it requires network access.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

この完了済み監査には、確認済みのセキュリティ検出事項は記録されていません。

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    中
    Package-manager commands can modify dependency files and lockfiles.
    State that install, update, uninstall, prune, and audit fix commands require explicit user confirmation and a clean working tree.
  2. FIX-002
    中
    Examples mix read-only audits with remediation commands.
    Separate audit-only commands from dependency-changing remediation steps, and recommend staging tests before applying fixes.
  3. FIX-003
    低
    Third-party scanners and registries require network access.
    Disclose when Snyk, npx, npm, pip-audit, or other tools may contact external services or registries.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
利用不可
コンテンツハッシュ
利用不可
ツリーハッシュ
利用不可
Skill パス
利用不可
監査ペイロードハッシュ
利用不可

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable