スキル altllm-portal-auth
📦
altllm-portal-auth
コンテンツリビジョン r1 高リスク 🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚙️ 外部コマンド
AltLLMウォレットセッションを認証する
ウォレットログインでは、秘密鍵が漏洩したり、分かりにくいローカルセッションが作成されたりする可能性があります。このスキルは、より安全なAltLLM Portal認証、外部署名、ステータス確認、ログアウトを支援します。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "altllm-portal-auth" from https://skillstore.io/skills/internet-court-altllm-portal-auth.md and its manifest at https://skillstore.io/api/skills/internet-court-altllm-portal-auth/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「altllm-portal-auth」を使用しています。 デフォルトのAltLLM Portal API用のウォレットチャレンジを準備してください。
期待される結果:
アシスタントは、チャレンジメッセージ、nonce、有効期限、署名手順を返し、秘密鍵を使用する前に停止します。
「altllm-portal-auth」を使用しています。 デプロイ前に、保存済みのPortalログインを確認してください。
期待される結果:
アシスタントは、セッショントークンを公開せずに、保存済みユーザー、セッションオリジン、対象オリジン、転送ステータスを報告します。
「altllm-portal-auth」を使用しています。 ローカルのPortalウォレットセッションからログアウトしてください。
期待される結果:
アシスタントはローカルセッションファイルを削除し、ローカルログアウトではAPIキーが失効しないことを説明します。
セキュリティ監査
高リスクv2 • 2026/7/21 バージョン別レポートを開く
The skill documents wallet authentication, including access to private keys and storage of a local Portal session. The primary risks are intentional credential handling, an explicitly unsafe argv option, and unreviewed shared instructions outside this package. Hardcoded URLs and Markdown command formatting are benign in context.
2
スキャンされたファイル
168
解析済み行数
9
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (4)
高
Crypto seed/private key mention
| `login-wallet --private-key-env <name>` | Sign in with a locally available private key from an env
The workflow authorizes use of a wallet private key from an environment variable. A compromised environment can expose the wallet credential.
高
Crypto seed/private key mention
| `login-wallet --private-key-file <path>` | Sign in with a locally available private key from a fil
The workflow authorizes reading a wallet private key from a file. The key file must be selected and protected carefully.
高
Crypto seed/private key mention
| `login-wallet --private-key <hex> --allow-unsafe-private-key-argv` | Sign in with an inline privat
The workflow permits an inline private key in command arguments when an unsafe flag is supplied. Arguments can leak through process listings and shell history.
中
Unreviewed Shared-Instruction Dependency
The skill instructs agents to read two parent-directory shared files before use, but those files are outside the audited package. Their contents could introduce unsafe commands or prompt-injection instructions after publication.
The explicit precondition to read external shared files is present, while the audit covers only two package files. Their content and safety cannot be verified from this skill.
機能レビュー項目 (9)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Generic API/secret keys
ALTLLM_WALLET_PRIVATE_KEY=<private-key> \
The command reads a wallet private key from an environment variable to sign in. A private key is highly sensitive and exposure can compromise the wallet.
高
Generic API/secret keys
--private-key-env ALTLLM_WALLET_PRIVATE_KEY
The command explicitly selects an environment variable containing a wallet private key. This is sensitive credential access, even though it is a safer input method than argv.
高
Generic API/secret keys
- `ALTLLM_WALLET_PRIVATE_KEY=<private-key>` with the default `--private-key-env ALTLLM_WALLET_PRIVAT
The reference documents private-key environment-variable input. Handling this credential presents a material wallet-compromise risk if the environment is exposed.
高
Path traversal sequence
> - `../_shared/preflight.md`
The skill directs the agent to read a file outside the skill directory. The referenced content is not included in this audit, so it creates an unreviewed instruction dependency.
高
Path traversal sequence
> - `../_shared/session-and-target.md`
The skill directs the agent to read a second parent-directory file. Its unreviewed content could alter behavior outside the audited package.
高
Hidden file in home directory
- Save the resulting session to `~/.altllm/portal-cli-session.json` unless overridden.
The skill directs storage of an authenticated Portal session under the user home directory. Session credentials require restrictive permissions and explicit user consent.
中
Hidden file access
"sessionFile": "/Users/<user>/.altllm/portal-cli-session.json",
The documented workflow stores an authentication session in a hidden home-directory file. Session-token storage is sensitive and requires secure permissions and user awareness.
中
Hidden file access
"sessionFile": "/Users/<user>/.altllm/portal-cli-session.json",
Representative logout output identifies the hidden session file. The file can contain authentication state and must be protected from other local users.
中
Hidden file access
- Save the resulting session to `~/.altllm/portal-cli-session.json` unless overridden.
The skill directs storage of an authenticated Portal session in a hidden file. This is sensitive local authentication state.
リスク要因
🌐 ネットワークアクセス (6)
📁 ファイルシステムへのアクセス (6)
🔑 環境変数 (3)
監査者: claude 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/internet-court-altllm-portal-auth?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/internet-court-altllm-portal-auth?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/internet-court-altllm-portal-auth/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/internet-court-altllm-portal-auth.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
internet-court. (2026). altllm-portal-auth security audit report (audit version 2) [Author version unspecified]. Skillstore. https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2BibTeX形式の引用
@techreport{internet-court-internet-court-altllm-portal-auth-2026,
author = {internet-court},
title = {altllm-portal-auth security audit report (audit version 2)},
institution = {Skillstore},
year = {2026},
number = {2},
url = {https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "altllm-portal-auth security audit report (audit version 2)"
version: "unspecified"
type: report
authors:
- name: "internet-court"
date-released: "2026-07-21"
url: "https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2"
identifiers:
- type: other
value: "skillstore:internet-court-altllm-portal-auth:audit:2"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 41
アーキテクチャ
85
保守性
87
コンテンツ
65
コミュニティ
83
仕様準拠
作成できるもの
開発者ウォレットを接続する
コマンド引数に秘密鍵を指定せずに、AltLLM Portalのウォレットログインを準備して完了します。
ローカルセッションの状態をトラブルシューティングする
ライブCLIコマンドを実行する前に、保存済みユーザー、対象オリジン、転送ステータスを確認します。
外部署名を使用する
Privyなどのウォレットプロバイダー用のチャレンジを取得し、返された署名を検証します。
これらのプロンプトを試す
セッションを確認する
ライブコマンドを実行する前に、altllm-portal-authを使用して、保存済みのPortalウォレットセッションが有効かどうかを確認してください。
ウォレットチャレンジを準備する
altllm-portal-authを使用して、私のウォレットアドレス用のログインチャレンジを準備してください。外部署名用のチャレンジ詳細を返した時点で停止してください。
署名済みチャレンジを検証する
altllm-portal-authを使用して、私が提供するnonceと署名で署名済みチャレンジを検証し、保存されたセッションのステータスを確認してください。
ホストの安全性を確認する
altllm-portal-authを使用して、デフォルト以外のAltLLM APIホストへのウォレットログインを計画してください。外部署名を優先し、秘密鍵が漏洩するリスクを特定してください。
ベストプラクティス
- ウォレットプロバイダーを利用できる場合は、チャレンジの準備と外部署名を優先してください。
- 署名前に、ウォレットアドレス、チェーン、nonce、チャレンジホスト、有効期限を確認してください。
- ライブコマンドの実行前にセッションステータスを確認し、保存済みセッションファイルを保護してください。
回避
- 秘密鍵をコマンド引数に直接渡すこと。
- チャレンジを確認せずに、デフォルト以外のリモートAPIホストに対して自動署名すること。
- ローカルログアウトによってサーバー認証情報やAPIキーが失効すると想定すること。
よくある質問
このスキルは何に役立ちますか？
AltLLM Portalのウォレットログイン、チャレンジの準備、署名検証、セッションステータス、ローカルログアウトを支援します。
秘密鍵は必要ですか？
いいえ。推奨されるフローでは、ウォレットまたはプロバイダーが外部で署名できるようにチャレンジを準備します。
Privyと連携できますか？
はい。Privyがチャレンジメッセージに対する標準のウォレット署名を返す場合に使用できます。
セッションはどこに保存されますか？
文書化されているデフォルトの保存先は、ユーザーのホームディレクトリ配下にあるPortal CLIセッションファイルです。
ステータス確認でトークンが公開されますか？
いいえ。文書化されているステータスコマンドは、セッショントークンを出力せずに、ユーザーと対象の詳細を報告します。
ログアウトするとAPIキーは失効しますか？
いいえ。ローカルログアウトでは、保存済みセッションファイルが削除されます。APIキーは失効しません。
開発者情報
作成者
internet-courtライセンス
MIT
Skillstore リビジョン
r1
バージョンに関する注意
作者はバージョンを宣言していません。
参照
3f6e026a3363e0954ede7bef0cfe88d4475de137
メンテナンスの新しさ
2026/7/23
利用状況
1 ダウンロード · 0 閲覧
ファイル構成