Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-5E1F762E

10/10/2026, 11:05:11 PM

review-insights avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
review-insights
Versão
v1
Mantenedor
locusintelligence-dauagency
Fonte
github.com/locusintelligence-dauagency/reach-skills/tree/2b10a6be9b9b9a990ae0beb360a21476fad41918/skills/review-insights
Cobertura
2 Arquivos analisados · 81 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Maior gravidade de descoberta confirmada

Baixo

1 constatação de segurança confirmada requer atenção.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

All 13 static alerts are false positives involving Markdown formatting, privacy guidance, or disclosed Reach URLs. No evidence found of shell execution, Python HTTP code, credential exfiltration, or prompt injection. One low-severity semantic finding concerns confirmed feature-request submission despite the stated read-only boundary.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

2 Arquivos analisados · 81 Linhas analisadas

1 item exibido para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 4 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Não registrado por esta auditoria

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 9 locais de evidência

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (1)

RISK-001 Baixo
SKILL.md:9SKILL.md:51SKILL.md:58
Read-only claim conflicts with optional write action
The skill states, "This skill never writes" and "This skill calls no write tool." It later permits request_feature submission after wording confirmation. Confirmation limits the risk, but this optional outbound write contradicts the declared boundary.
The source explicitly authorizes sending a request to the Reach team while asserting that no write tools are called. User confirmation is required.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Baixo
    The read-only claim conflicts with the optional request_feature submission in SKILL.md:58.
    Remove request_feature from this workflow or disclose that feature requests are an optional write action requiring explicit confirmation.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
5e1f762ecf28b75c366ed9b67053b444b2eb9ffd
Hash do conteúdo
a033dc5882d1f5d3f1585909e1e68c9f39dd08f12b7f252253fbd360d07ad5cd
Hash da árvore
837484f62cb9f58c90683775469f38055ffc23c1c8a5be0922d2291312cf1baf
Caminho do Skill
skills/locusintelligence-dauagency/review-insights
Hash da carga de auditoria
bc5759545c342ea8d33e4ceda2b93d50

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active