Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-7B5F6226

9/19/2026, 10:47:19 AM

agy-worker оценка безопасности v7

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
agy-worker
Версия
v0.20.0
Сопровождающий
cagdasyurekli
Источник
github.com/cagdasyurekli/codex-agy-worker/tree/3da9a50afaa66492dd77f23f92c6ed4f84be4ada/skills/agy-worker
Охват
92 Просканировано файлов · 38,537 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Наивысшая серьёзность подтверждённого результата

Высокий

Подтверждённые проблемы безопасности (3) требуют внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

The review confirmed intentional high-impact capabilities: external provider execution, repository-content transmission, verifier command execution, and limited private configuration access. Most static matches are false positives from defensive validation, documentation, compact schemas, or fixed local commands. Default session mode lacks host containment, and 589 lower-priority static matches remain outside the supplied adjudication set. Static review was capped at 400/989 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

92 Просканировано файлов · 38,537 Проанализировано строк

15 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Обнаружено в 22 местах расположения доказательств

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 43 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 50 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 15 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 56 местах расположения доказательств

Пункты проверки возможностей (12)
Высокий
runtime/ground-truth.sh:63
Hidden file in home directory
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase reads ~/.gemini/antigravity-cli/settings.json from the user's home directory. The action is documented and explicit, but it accesses private tool configuration.
Высокий
runtime/scripts/agy_dispatch_containment.py:777-778
Process exec
(allow process-exec
The native sandbox profile explicitly allows the provider process to execute the bound target and tools from staged and system paths. This is required functionality, but it grants meaningful command-execution authority.
Высокий
runtime/scripts/evidence_receipt.py:1521
Python os.exec variants
os.execvpe(command[0], command, dict(os.environ))
The no-shell verifier replaces the process with a caller-selected, validated argv command. Validation limits parsing attacks, but the feature intentionally executes external project tooling.
Высокий
runtime/scripts/agy_dispatch_verification.py:94
Python subprocess.Popen
process = subprocess.Popen(
This Popen launches the selected verification command inside the prepared containment profile. Verification can execute repository code, so the documented approval and isolation controls remain security-critical.
Высокий
runtime/scripts/agy_dispatch.py:4949
Python subprocess.Popen
process = subprocess.Popen(
This Popen is the live Antigravity provider launch and gives the external worker access to approved repository content. The executable and environment are bound, but provider execution remains a high-impact trust boundary.
Средний
runtime/ground-truth.sh:63
Hidden file access
p = os.path.expanduser("~/.gemini/antigravity-cli/settings.json")
The optional account phase opens ~/.gemini/antigravity-cli/settings.json to display permission settings. This is intentional diagnostics, but it is genuine hidden-file access.
Средний
runtime/qa-gate.sh:623
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
Shell verification passes the selected verification specification to /bin/bash -c. This intentionally supports arbitrary shell commands and therefore carries command-injection and project-code execution risk.
Средний
runtime/qa-gate.sh:639
Unix shell invocation
/bin/bash -c "${verify_specs[$i]}"
The alternate gate branch also executes the selected verification specification through /bin/bash -c. The clean environment reduces exposure but does not remove arbitrary shell execution.
Низкий
runtime/scripts/evidence_receipt.py:1115
Python environment access
if name in os.environ:
The verifier reads explicitly named values from the caller environment. The opt-in and private-pipe design reduce risk, but approved names may contain credentials.
Низкий
runtime/scripts/evidence_receipt.py:1117
Python environment access
(os.fsencode(name), b"\0", os.fsencode(os.environ[name]), b"\0")
This line serializes approved environment values into the private verifier payload. Credential acknowledgements are enforced, but sensitive values still cross into executed verification code.
Низкий
runtime/scripts/evidence_receipt.py:1521
Python environment access
os.execvpe(command[0], command, dict(os.environ))
The validated verifier receives the gate's environment through execvpe. The environment is sanitized and opt-in, but any approved secret becomes accessible to project tooling.
Низкий
runtime/scripts/feedback-triage.py:360
Python environment access
environment = os.environ.copy()
Feedback triage copies the ambient environment before invoking an authenticated GitHub CLI request. Fixed GitHub routing limits misuse, but the child can receive ambient GitHub credentials.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (3)

RISK-001 Высокий
SKILL.md:45-50
Approved repository content is transmitted to an external provider
Scoped files or an entire approved worktree can be readable and transmissible to Google or Gemini. Digest approval reduces accidental scope changes but does not eliminate third-party disclosure.
The skill explicitly documents provider-readable content, whole-worktree transmission, and the need to remove secrets before launch.
RISK-002 Высокий
SKILL.md:48references/SECURITY_AND_COMPATIBILITY.md:85-91
Default session isolation retains ambient user authority
The default session mode gives AGY normal user filesystem and network authority outside the staged workspace. Scope reconciliation cannot prevent unobserved reads or network activity.
Both the primary instructions and security guide state that session mode has no host containment and cannot observe access outside the stage.
RISK-003 Высокий
references/SECURITY_AND_COMPATIBILITY.md:119-142
Native mode grants broad Keychain helper and listener authority
Native mode can expose wildcard listeners and broader same-user Keychain operations through the security helper. Approval does not technically limit helper operations to one AGY token.
The security guide explicitly states that wildcard binds are possible and Keychain reads, additions, changes, and deletions may be allowed.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    Session isolation is the default despite retaining normal user filesystem and network authority.
    Default to native or equivalent containment where supported. Require a separate prominent confirmation when session mode is selected.
  2. FIX-002
    Высокий
    Whole-worktree approval can expose unrelated repository content to the external provider.
    Disable whole-worktree dispatch in the marketplace build, or require scoped manifests unless every path receives explicit review.
  3. FIX-003
    Высокий
    Legacy shell verification executes caller-selected text through bash.
    Remove shell mode from the default workflow. Prefer validated argv verification and require a separate warning for any retained shell mode.
  4. FIX-004
    Высокий
    Native mode grants the security helper broader Keychain operations than token lookup requires.
    Replace helper access with a least-privilege credential handoff that cannot add, modify, delete, or enumerate unrelated Keychain items.
  5. FIX-005
    Высокий
    Static review was capped at 400 of 989 matches.
    Complete manual review of the remaining 589 matches before automatic publication or installation is enabled.
  6. FIX-006
    Средний
    Static review capped
    Manually review the omitted 589 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
7b5f6226ad3dfaed7068a68fb47e33a511a95cb3
Хеш содержимого
6265484dddafa504df20fa1cc2033d6bbd7243ada5189f892ddd42973c8285e4
Хеш дерева
5ed1e9b7a5b0bbee6ff0542508a6ab17283522e7e176033e7531146657f8bd2c
Путь Skill
skills/cagdasyurekli/agy-worker
Хеш данных аудита
2b712c7cff30f18b62689fab595c5377

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded