このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-62E2A730

7/5/2026, 8:43:14 PM

mulerouter セキュリティ評価 v6

スキルセキュリティ認証レポート

監査履歴
監査モデル: codex 最新の公開済みレポート
スキル名
mulerouter
バージョン
v6
メンテナー
openmule
ソース
github.com/openmule/mulerouter-skills/tree/main/skills/mulerouter-skills
カバレッジ
44 スキャンされたファイル · 4,569 解析済み行数
ポリシーバージョン
利用不可

確認済みの検出結果における最高重大度

中

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

現在のスキルページを確認

このページはレポートの証拠のみを要約しています。正規のインストール勧告は Skill ページで提供されます。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Static analysis raised many findings because this skill combines local Python execution, outbound API calls, and API credential configuration. Manual review found no prompt injection, hidden exfiltration, or arbitrary command execution; most static hits are documentation, tests, placeholders, or expected API client behavior. The remaining contextual concern is that API keys can be supplied on the command line, which may expose secrets through shell history or process inspection.

レポートの位置

最新の公開済みレポート

「最新」はレポートの順序を指し、アーティファクトの最新性を指すものではありません。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

44 スキャンされたファイル · 4,569 解析済み行数

レビュー対象の項目を 1 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

8 件の証拠箇所で確認

ネットワークアクセス

外部サービスに接続する場合があります。

26 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

1 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

49 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

24 件の証拠箇所で確認

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 中
models/base.py:68models/base.py:293-295references/REFERENCE.md:31-32
API Key Can Be Passed Through Command Line
The model CLI exposes an --api-key option and passes the parsed value into configuration loading. Command-line secrets can be retained in shell history or visible to process inspection tools.
The CLI option and the handoff to load_config are directly visible. The risk is contextual because secure environment-variable use is also supported.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    中
    API keys can be supplied as command-line arguments.
    Prefer environment variables or a dedicated .env file, and warn users that --api-key can expose secrets in shell history and process listings.
  2. FIX-002
    中
    Prompts, media URLs, and task metadata are sent to external API services.
    Publish a clear notice that MuleRouter and MuleRun requests leave the local environment and must follow organization data policies.
  3. FIX-003
    低
    The loader reads a current-directory .env file when present.
    Document running the skill from a clean project directory or requiring an explicit env file to avoid accidental use of unrelated secrets.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
62e2a730c5cd74eab4c7164309d810de660fcea3
コンテンツハッシュ
3326f7dc226e53980cfe633b1ff848c041015bb50eba46171945c67ab93d321c
ツリーハッシュ
23192c1bb7ddb6dad19b6cd025b27e6030fc5e615f4870d1af4c313a9c0d8f39
Skill パス
skills/openmule/mulerouter
監査ペイロードハッシュ
46e7cf25cce624ac64fb72ba4db5e51d

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable