Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-7F17813F

10/13/2026, 3:22:10 AM

calil-books avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
calil-books
Versão
v1
Mantenedor
tahodev
Fonte
github.com/tahodev/kurashi-skill/tree/09cb7f9eac85f0c85633cce08328a1a57854a94f/calil-books
Cobertura
1 Arquivos analisados · 120 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Maior gravidade de descoberta confirmada

Baixo

1 constatação de segurança confirmada requer atenção.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

All 42 static findings are benign Markdown formatting, expected Calil URLs, readable Japanese prose, library identifiers, or a fixed documentation link. No evidence found of prompt injection, malicious execution, or unauthorized data transmission in SKILL.md. One low-severity semantic finding concerns API keys exposed through expanded curl command arguments.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 120 Linhas analisadas

1 item exibido para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 9 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 1 local de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 28 locais de evidência

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (1)

RISK-001 Baixo
SKILL.md:24SKILL.md:65SKILL.md:73SKILL.md:84
API Key Exposure Through Command Arguments
The curl examples expand CALIL_APPKEY into URL arguments. The key can appear in process listings or captured command logs despite the guidance to keep credentials private.
Shell expansion places the key directly in curl's URL argument. Actual disclosure depends on process visibility and logging; no evidence found of deliberate exfiltration.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Baixo
    API keys expand into curl URL arguments and may become visible through process inspection or captured command logs.
    Use an HTTP client that reads CALIL_APPKEY inside its process, rather than passing the key as a command argument. Redact appkey from logs.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
7f17813fb6af1acc7d8fd3fb5f05480f5be52783
Hash do conteúdo
1b692ed96d0be6f92ea116bc1d7c3135c99868de0320dd168bb5d0af07fa4cac
Hash da árvore
7931c15c1faea6bb7dffe6362160fe4c50b597faf9104caafb119d173187122c
Caminho do Skill
skills/tahodev/calil-books
Hash da carga de auditoria
bcf0be75371d546df06e5f17fddc59f3

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active