Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-8EB01648

6/28/2026, 9:21:10 PM

chronicle-project-tracker оценка безопасности v6

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
chronicle-project-tracker
Версия
v6
Сопровождающий
ChandlerHardy
Источник
github.com/ChandlerHardy/chronicle/tree/main/chronicle-skills/chronicle-project-tracker
Охват
1 Просканировано файлов · 425 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Низкий

Подтверждённые проблемы безопасности (2) требуют внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Static analysis flagged many external command, weak cryptography, and reconnaissance patterns, but review found they are Markdown examples and Chronicle tool references. The only confirmed risk is low: the skill documents local Chronicle CLI commands that can modify project-tracking state.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 425 Проанализировано строк

3 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Не зафиксировано этим аудитом

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 6 местах расположения доказательств

Пункты проверки возможностей (1)
Низкий
SKILL.md:64-78SKILL.md:101-104SKILL.md:300-326SKILL.md:390-422
Local Chronicle CLI Commands Modify Project State
The external command findings are true positives for documented CLI usage. The commands are Chronicle-specific milestone, roadmap, next-step, and session-linking commands, so the risk is limited to intended local project metadata changes.
The commands are explicit Chronicle CLI examples and several are described as user-run actions. No shell metacharacter injection, remote download, or arbitrary command construction was found.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (2)

RISK-001 Низкий
SKILL.md:58-62SKILL.md:89-99SKILL.md:111-118SKILL.md:211-218SKILL.md:362
Reconnaissance Alerts Are Project Tracking Queries
The system and network reconnaissance findings are false positives. The referenced text queries Chronicle roadmaps, sessions, and milestone records, not operating system details or network targets.
The suspicious terms appear in normal project-management workflows. No evidence of port scanning, host discovery, account enumeration, or external network probing was found.
RISK-002 Низкий
SKILL.md:23
Network Reconnaissance Alert Is Plain Project Planning Text
The network reconnaissance alert at line 23 is dismissed. The line only lists development progress tracking as a use case.
The exact line contains no network command, URL, socket operation, or scan target. It is a plain-language bullet in the skill usage section.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Статические ложные срабатывания проигнорированы (1)
Низкий
SKILL.md:3SKILL.md:67-75SKILL.md:159SKILL.md:304-313SKILL.md:333-345SKILL.md:393-399
Weak Cryptography Alerts Are Documentation False Positives
The high-severity weak cryptography alerts do not identify cryptographic code. The flagged lines contain prose, Markdown examples, field names, or command arguments such as descriptions and roadmap text.
Line review found no MD5, SHA1, cipher configuration, password hashing, or cryptographic API usage. The static matches are token-level false positives in Markdown content.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable