このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-ADB60C53

7/5/2026, 10:32:54 PM

busybox-on-windows セキュリティ評価 v3

スキルセキュリティ認証レポート

監査履歴
監査モデル: codex 過去のレポート
スキル名
busybox-on-windows
バージョン
v3
メンテナー
sickn33
ソース
github.com/sickn33/antigravity-awesome-skills/tree/main/skills/busybox-on-windows
カバレッジ
1 スキャンされたファイル · 31 解析済み行数
ポリシーバージョン
利用不可

確認済みの検出結果における最高重大度

高

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

The skill is legitimate Windows BusyBox setup guidance. It asks agents or users to run PowerShell and download executables from hardcoded external URLs. I confirmed the shell and download risks, dismissed documentation-only links and simple local usage examples, and found no evidence of prompt injection.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

1 スキャンされたファイル · 31 解析済み行数

レビュー対象の項目を 15 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    バインディングは利用できません

  2. アーティファクト

    IDが不完全

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

6 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

この監査では記録されていません

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

13 件の証拠箇所で確認

機能レビュー項目 (14)
高
SKILL.md:16
Ruby/shell backtick execution
- 32-bit x86 (ANSI): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fripp
Line 16 provides a runnable PowerShell download command that saves an external executable as busybox.exe. Downloading binaries through shell commands is a real risk.
高
SKILL.md:17
Ruby/shell backtick execution
- 64-bit x86 (ANSI): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fripp
Line 17 provides a runnable PowerShell command that downloads a 64-bit executable from an external site. This is executable acquisition through shell execution.
高
SKILL.md:18
Ruby/shell backtick execution
- 64-bit x86 (Unicode): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fr
Line 18 provides a runnable PowerShell command that downloads an external executable. The command saves the result directly as busybox.exe.
高
SKILL.md:19
Ruby/shell backtick execution
- 64-bit ARM (Unicode): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fr
Line 19 provides a runnable PowerShell command that downloads an ARM executable from an external URL. This is risky executable download guidance.
高
SKILL.md:12
PowerShell invocation
These are PowerShell commands, if you have a classic `cmd.exe` terminal, then you must use `powershe
Line 12 explicitly instructs use of PowerShell through cmd.exe. PowerShell execution guidance is a real capability and risk for an install-oriented skill.
高
SKILL.md:15
PowerShell invocation
3. Download a suitable build of BusyBox by running one of these PowerShell commands:
Line 15 introduces PowerShell commands specifically for downloading BusyBox builds. The following commands fetch executable files, so the invocation risk is confirmed.
高
SKILL.md:12
Windows cmd.exe
These are PowerShell commands, if you have a classic `cmd.exe` terminal, then you must use `powershe
Line 12 tells users in cmd.exe to run PowerShell commands. This is Windows shell execution guidance rather than passive documentation.
高
SKILL.md:16
Hardcoded URL
- 32-bit x86 (ANSI): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fripp
Line 16 contains a hardcoded HTTPS URL used to download an executable file. The binary source is external and no integrity check is provided.
高
SKILL.md:17
Hardcoded URL
- 64-bit x86 (ANSI): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fripp
Line 17 contains a hardcoded external URL for a BusyBox executable download. The command writes the response directly to busybox.exe without verification.
高
SKILL.md:18
Hardcoded URL
- 64-bit x86 (Unicode): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fr
Line 18 contains a hardcoded external executable URL. The skill gives no checksum, signature, or version pin for the downloaded binary.
高
SKILL.md:19
Hardcoded URL
- 64-bit ARM (Unicode): `$ProgressPreference = 'SilentlyContinue'; Invoke-WebRequest -Uri https://fr
Line 19 contains a hardcoded external URL for an ARM executable. The direct binary download is not paired with any integrity verification.
中
SKILL.md:12
Ruby/shell backtick execution
These are PowerShell commands, if you have a classic `cmd.exe` terminal, then you must use `powershe
Line 12 explicitly tells users to invoke PowerShell from cmd.exe. This is real shell execution guidance in an AI skill, even though the Markdown backticks are not Ruby syntax.
中
SKILL.md:13
Ruby/shell backtick execution
1. Print the type of CPU: `Get-CimInstance -ClassName Win32_Processor | Select-Object Name, NumberOf
Line 13 provides a runnable PowerShell command to query processor details. It is a local system command, so the external command finding is valid.
中
SKILL.md:14
Ruby/shell backtick execution
2. Print the OS versions: `Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion" | S
Line 14 provides a runnable PowerShell command that reads Windows registry metadata. It is command execution against local system state.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 高
SKILL.md:16-19
Unverified Executable Download
The skill instructs users to download BusyBox executable files from external URLs and save them as busybox.exe without checksum, signature, or version verification.
Lines 16-19 contain direct executable download commands and no nearby integrity verification instructions. This is a clear supply-chain risk beyond the presence of a URL alone.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    高
    Unverified executable downloads
    Pin exact BusyBox release versions and require checksum or signature verification before saving or running downloaded binaries.
  2. FIX-002
    高
    PowerShell command execution guidance
    Require explicit user approval before running any PowerShell command and explain each command before execution.
  3. FIX-003
    中
    Hardcoded external binary source
    Prefer a trusted package manager or official release channel with integrity metadata instead of bare executable URLs.
  4. FIX-004
    低
    Windows registry query
    Make the registry metadata check optional or replace it with a less sensitive OS version check where possible.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
利用不可
コンテンツハッシュ
利用不可
ツリーハッシュ
利用不可
Skill パス
利用不可
監査ペイロードハッシュ
利用不可

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

静的解析の誤検知を無視 (1)
高
SKILL.md:14
Windows registry access
2. Print the OS versions: `Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion" | S
Force-confirmed blocker/high static finding; AI dismissal overridden.

検証とエクスポート

JSON レポート CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable