Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-E406BF64

10/7/2026, 3:00:20 PM

ai-image-generation avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
ai-image-generation
Versão
v1
Mantenedor
gencraft-labs
Fonte
github.com/gencraft-labs/skills/tree/5d625f59c710d7a33316b50b302b7158cdee5971/ai-image-generation
Cobertura
1 Arquivos analisados · 497 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Maior gravidade de descoberta confirmada

Médio

1 constatação de segurança confirmada requer atenção.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

All 199 static matches are false positives involving Markdown, public links, placeholder URLs, or documented token storage. One semantic finding identifies overbroad shell-safety guidance requiring explicit escaping before CLI execution. No evidence found of malicious instructions or credential exfiltration in the supplied file; the external CLI implementation was not reviewed.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 497 Linhas analisadas

1 item exibido para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 50 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 4 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 50 locais de evidência

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (1)

RISK-001 Médio
SKILL.md:481SKILL.md:387-394
Overbroad Shell-Safety Guidance
The claim "No shell-injection surface from prompt content" overlooks shell parsing before CLI execution. Unescaped prompt quotes can break shell arguments despite valid JSON.
The document makes an unconditional safety claim while using shell-quoted JSON. One example escapes an apostrophe correctly, but safety still depends on consistent shell escaping.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    The unconditional shell-safety claim omits parsing before the CLI receives input.
    Replace the blanket guarantee with conditional guidance. Serialize JSON separately and use argument-array execution without a shell, or consistently apply shell-specific escaping.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
e406bf64b5db6e514879399e87b346fa7ff7c2fb
Hash do conteúdo
752a30e08a7c89fbca5a8bd2556654af9a7b6ce7fb6082098299fbdb49e6253b
Hash da árvore
3362cd9914fa9950e2055fe6b8a955f019666b00c31dc93a51f19135920115a5
Caminho do Skill
skills/gencraft-labs/ai-image-generation
Hash da carga de auditoria
f0890365ec387f486a000eb4c117a725

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active