Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-5526951B

9/12/2026, 11:20:04 AM

gpt-series-reasoning-style avaliação de segurança v2

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório histórico
Nome da skill
gpt-series-reasoning-style
Versão
v1.2.0
Mantenedor
jadeyingwah
Fonte
github.com/jadeyingwah/gpt-series-reasoning-style/tree/a8ee3c963ce3bd97d9e2076d54cd0f3334d45d39/
Cobertura
97 Arquivos analisados · 13,494 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Resumo de descobertas confirmadas

Nenhuma descoberta de segurança confirmada

A auditoria concluída não registrou nenhuma constatação de segurança confirmada. Isso não prova que a Skill não tenha efeitos colaterais.

Contexto de instalação

Evidências históricas

Este relatório pode não descrever o artefato atualmente instalável. Abra a página atual da Skill para obter orientações de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Most static alerts are false positives caused by defensive examples, readable Chinese prose, Markdown syntax, SVG paths, and documented installation locations. One high-risk behavior is confirmed: claim-check executes claims-file commands through shell=True, so hostile or insufficiently reviewed input can run arbitrary code. Static review was capped at 400/554 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Posição do relatório

Relatório histórico

Abra o histórico de auditoria antes de usar este relatório para instalar.

Atestado de auditoria

Atestação substituída

Existe uma atestação mais recente.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

97 Arquivos analisados · 13,494 Linhas analisadas

1 item exibido para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 13 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 46 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 48 locais de evidência

Itens de revisão de capacidade (1)
Alto
scripts/claim-check.py:372
Python subprocess.run
proc = subprocess.run(cmd, shell=True, cwd=str(root),
This call passes commands parsed from a claims file to subprocess.run with shell=True. The file and SECURITY.md explicitly acknowledge that hostile input can execute arbitrary code.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Nenhum achado de segurança confirmado foi registrado nesta auditoria concluída.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Alto
    The claim checker executes command strings from a claims file through the user's shell.
    Replace free-form shell commands with structured executable and argument fields plus a strict allowlist. Until then, require an isolated environment without secrets or network access.
  2. FIX-002
    Médio
    Static review capped
    Manually review the omitted 154 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
5526951beaeca22519572a471618555839b53b05
Hash do conteúdo
30c33cbdb21f82cb826e4565423c84d747eb54b6210165ce159a6ffa3f3b908f
Hash da árvore
17bfc133d5acc2a15b45dd61d802356415fe6fc751b7ca9972bee164743123a3
Caminho do Skill
skills/jadeyingwah/gpt-series-reasoning-style
Hash da carga de auditoria
0ba098cdf47ac2aea39fed3f97fbc715

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: superseded