Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-43994E3A

10/29/2026, 6:17:09 PM

stack-analyzer оценка безопасности v14

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
stack-analyzer
Версия
v14
Сопровождающий
Consiliency
Источник
github.com/Consiliency/treesitter-chunker/tree/main/.ai-dev-kit/skills/stack-analyzer
Охват
5 Просканировано файлов · 861 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

All 61 static alerts are false positives involving Markdown, benign date substitution, a schema identifier, and expected optional repository writes. Scaffolding has a separate overwrite risk because header generation replaces SKILL.md in the current directory rather than the copied destination. No evidence found of malicious prompt injection, credential theft, or data exfiltration in the reviewed files.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

5 Просканировано файлов · 861 Проанализировано строк

1 элемент показан для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 1 месте расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 1 месте расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 49 местах расположения доказательств

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
SKILL.md:124-133
Scaffolding Can Overwrite the Current Skill
The copy command targets the repository, but 'mv temp SKILL.md' and sed modify the current directory without changing to that destination. Running from the skill directory can replace the analyzer instructions with a template and leave the copied skill uncustomized.
The example uses relative output paths and never changes directories after copying. The overwrite is clear if followed literally; agent interpretation may differ.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    Scaffolding writes SKILL.md and a predictable temporary file in the current directory instead of the copied destination.
    Resolve the destination explicitly, quote paths, create temporary files securely there, and require confirmation before replacing existing skill files.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
43994e3a0b630dd937942fb60c36b310e7b8dc04
Хеш содержимого
bde7ed2e93547a370475c4af5f1d2b9d9239cd131f37617d01e2455d343d4b30
Хеш дерева
4538cfff5b07c04683037df2930be014ccef5a12babb74bad27798815e932de7
Путь Skill
skills/consiliency/stack-analyzer
Хеш данных аудита
df836485c348446db76f16972d07fab0

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active