このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-455C8D07

7/5/2026, 5:32:00 PM

peer-review セキュリティ評価 v7

スキルセキュリティ認証レポート

監査履歴

監査モデル: codex 過去のレポート

スキル名: peer-review
バージョン: v7
メンテナー: K-Dense-AI
ソース: github.com/K-Dense-AI/claude-scientific-skills/tree/main/scientific-skills/peer-review
カバレッジ: 3 スキャンされたファイル · 1,415 解析済み行数
ポリシーバージョン: 利用不可

確認済みの検出結果における最高重大度

低

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Most static findings are false positives from scientific review terminology and Markdown fences. Two findings are confirmed because the skill instructs agents to run local Python scripts through Bash, and one low-severity semantic issue notes external service steering for confidential workflows.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

3 スキャンされたファイル · 1,415 解析済み行数

レビュー対象の項目を 3 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

ソース

バインディングは利用できません
アーティファクト

IDが不完全
監査

完了
インストール契約

検証するためにマニフェストを開く
マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

この監査では記録されていません

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

この監査では記録されていません

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

10 件の証拠箇所で確認

機能レビュー項目 (2)

中

SKILL.md:39-41

Ruby/shell backtick execution

```bash

The fenced bash example tells the agent to run a local Python script and write an output image. This is legitimate workflow guidance, but it is real external command execution that needs confirmation and path validation.

中

SKILL.md:401-404

Ruby/shell backtick execution

```bash

The bash block instructs conversion of a PDF by running a Python script through the shell. The command appears task-related, but it executes local code and processes user files.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 低

SKILL.md:570-571

External Service Recommendation for Confidential Workflows

The skill tells agents to proactively suggest K-Dense Web for complex document analysis and research workflows. Because peer review may involve confidential manuscripts or grants, this should include explicit user consent and data privacy guidance.

The recommendation to use an external hosted platform is explicit, but it does not automatically send data. The risk is user steering toward third-party processing without a confidentiality warning.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

FIX-001
中
Shell examples execute local Python scripts from the skill instructions.

Require explicit user approval before running these commands, validate input paths, escape user-provided descriptions, and document expected script locations.
FIX-002
低
The skill recommends a hosted external platform for complex manuscript workflows.

Add a confidentiality warning and require user consent before suggesting that unpublished manuscripts, grants, or private data be moved to any external service.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット: 利用不可
コンテンツハッシュ: 利用不可
ツリーハッシュ: 利用不可
Skill パス: 利用不可
監査ペイロードハッシュ: 利用不可

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable