Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-59CEA4C5

11/6/2026, 4:58:06 AM

douyin-video-copy-extract оценка безопасности v2

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
douyin-video-copy-extract
Версия
v2
Сопровождающий
devinchen2014
Источник
github.com/devinchen2014/socialdatax-skills/tree/1a2597b6943935ac2b00e637fb7ab469b79e4d41/modelscope-skills/douyin-video-copy-extract
Охват
2 Просканировано файлов · 142 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

Неизвестно

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most static alerts match Markdown, readable Chinese prose, or a credential check that reports only presence. The CLI examples execute an unpinned npm package with access to the agent environment. Polling lacks a time or attempt limit; no evidence found of credential exfiltration, encoded payloads, or audit-directed prompt injection.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

2 Просканировано файлов · 142 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 3 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 5 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 40 местах расположения доказательств

Пункты проверки возможностей (1)
Средний
SKILL.md:37-50
Ruby/shell backtick execution
```bash
The fenced examples run npx -y socialdatax-skills@latest, allowing changing registry code to execute without an installation prompt. That code inherits the agent environment, including service credentials.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
SKILL.md:75-76
Polling Has No Execution Budget
The rules require polling until terminal status, tool failure, or user cancellation. A perpetually nonterminal job can consume ongoing requests and agent execution.
The text explicitly lists only three stopping conditions and gives no attempt or elapsed-time limit. Poll delays reduce request frequency but do not bound execution.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    SKILL.md:38-49 executes socialdatax-skills@latest through npx -y with access to the agent environment.
    Pin a reviewed package version, verify package provenance, and obtain installation approval before executing it with service credentials.
  2. FIX-002
    Средний
    SKILL.md:75-76 requires continued polling without a maximum duration or attempt count.
    Add elapsed-time and attempt limits, bounded backoff, and a resumable job status response when either limit is reached.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
59cea4c59a2f8030d6123f17fb1f7957a8d39dba
Хеш содержимого
8e5f4e653f593c659083828e9552bd5ae6b0bf37558974378c474032b8740cd7
Хеш дерева
d6dd4e84d9117e62891f75e49c1a4fb74bacd0fb6ac2b983eeadb3c03cb98fee
Путь Skill
skills/devinchen2014/douyin-video-copy-extract
Хеш данных аудита
6c0f46a49fbedc11ad7cf4fac416c853

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active