📦

監査履歴

backlink-guard - 3 監査

バージョン比較

監査済みバージョン間の機能と検出結果の変化(新しい順)。

バージョン日付結果レビュー項目前バージョンとの変化
v3 最新2026年10月28日 11:28 確認された検出結果なし0機能の変化なし
v2 2026年10月27日 09:11 1 確認済み0機能の変化なし
v1 2026年10月26日 10:22 確認された検出結果なし1基準

2026年10月28日 11:28

All 113 static findings are false positives involving Markdown, documented configuration, example URLs, or legitimate backlink workflows. No evidence found of prompt injection, credential exfiltration, destructive actions, or unauthorized submissions in SKILL.md. The externally installed PyPI implementation was not provided, so its runtime security was not verified.

1
スキャンされたファイル
190
解析済み行数
4
レビュー項目
0
誤検知を無視
監査者: codex

2026年10月27日 09:11

The static matches are Markdown formatting, ordinary documentation links, application state, credential names, or unrelated prose. The skill instructs users to execute a pinned external package that was not included in this review.

1
スキャンされたファイル
189
解析済み行数
5
レビュー項目
0
誤検知を無視

確認済みのセキュリティ上の懸念 (1)

中
Unreviewed external package execution
The instructions download and execute a pinned PyPI package. Its implementation is outside the reviewed skill files, so its behavior and integrity remain unverified.
The instructions explicitly invoke a PyPI release, and the reviewed file set contains only the skill documentation.
監査者: codex

2026年10月26日 10:22

Of 105 static findings, 104 are false positives involving Markdown, optional credential names, documented URLs, application state, or SEO terminology. One finding identifies the external-package execution boundary: the required PyPI runtime is absent from the audited files, so its behavior remains unverified. No evidence found of prompt injection, credential theft, destructive commands, or unauthorized reporting in SKILL.md.

1
スキャンされたファイル
177
解析済み行数
5
レビュー項目
0
誤検知を無視
機能レビュー項目 (1)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

中
Ruby/shell backtick execution
1. Run the pinned release from PyPI: `uvx backlink-guard==0.10.0 <command>` when `uv` is there, else
The setup explicitly installs or executes a PyPI package absent from the audited files. Pinning does not verify its behavior with local access or optional credentials.
監査者: codex