このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-59CEA4C5

11/6/2026, 4:58:06 AM

douyin-video-copy-extract セキュリティ評価 v2

スキルセキュリティ認証レポート

監査履歴
スキャナーバージョン 3.0.0 監査モデル: codex 最新の公開済みレポート
スキル名
douyin-video-copy-extract
バージョン
v2
メンテナー
devinchen2014
ソース
github.com/devinchen2014/socialdatax-skills/tree/1a2597b6943935ac2b00e637fb7ab469b79e4d41/modelscope-skills/douyin-video-copy-extract
カバレッジ
2 スキャンされたファイル · 142 解析済み行数
ポリシーバージョン
skillstore-security-audit-policy-v1

Current license

不明

確認済みの検出結果における最高重大度

中

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

現在のスキルページを確認

このページはレポートの証拠のみを要約しています。正規のインストール勧告は Skill ページで提供されます。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Most static alerts match Markdown, readable Chinese prose, or a credential check that reports only presence. The CLI examples execute an unpinned npm package with access to the agent environment. Polling lacks a time or attempt limit; no evidence found of credential exfiltration, encoded payloads, or audit-directed prompt injection.

レポートの位置

最新の公開済みレポート

「最新」はレポートの順序を指し、アーティファクトの最新性を指すものではありません。

監査アテステーション

有効な証明

この完全に一致するレポートには公開証明があります。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

2 スキャンされたファイル · 142 解析済み行数

レビュー対象の項目を 2 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

3 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

この監査では記録されていません

環境変数

プロセス環境から値を読み取る可能性があります。

5 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

40 件の証拠箇所で確認

機能レビュー項目 (1)
中
SKILL.md:37-50
Ruby/shell backtick execution
```bash
The fenced examples run npx -y socialdatax-skills@latest, allowing changing registry code to execute without an installation prompt. That code inherits the agent environment, including service credentials.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 中
SKILL.md:75-76
Polling Has No Execution Budget
The rules require polling until terminal status, tool failure, or user cancellation. A perpetually nonterminal job can consume ongoing requests and agent execution.
The text explicitly lists only three stopping conditions and gives no attempt or elapsed-time limit. Poll delays reduce request frequency but do not bound execution.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    中
    SKILL.md:38-49 executes socialdatax-skills@latest through npx -y with access to the agent environment.
    Pin a reviewed package version, verify package provenance, and obtain installation approval before executing it with service credentials.
  2. FIX-002
    中
    SKILL.md:75-76 requires continued polling without a maximum duration or attempt count.
    Add elapsed-time and attempt limits, bounded backoff, and a resumable job status response when either limit is reached.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
59cea4c59a2f8030d6123f17fb1f7957a8d39dba
コンテンツハッシュ
8e5f4e653f593c659083828e9552bd5ae6b0bf37558974378c474032b8740cd7
ツリーハッシュ
d6dd4e84d9117e62891f75e49c1a4fb74bacd0fb6ac2b983eeadb3c03cb98fee
Skill パス
skills/devinchen2014/douyin-video-copy-extract
監査ペイロードハッシュ
6c0f46a49fbedc11ad7cf4fac416c853

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート 署名付き監査証明 CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: active