Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-6F8BB140

10/29/2026, 4:56:10 AM

xhs-creator-collaboration-evaluation оценка безопасности v2

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
xhs-creator-collaboration-evaluation
Версия
v2
Сопровождающий
devinchen2014
Источник
github.com/devinchen2014/socialdatax-skills/tree/c14b6adea4ba2b551557115cdfffde4c17375cbf/modelscope-skills/xhs-creator-collaboration-evaluation
Охват
2 Просканировано файлов · 141 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

Неизвестно

Сводка подтверждённой проблемы

Подтвержденные результаты проверки безопасности отсутствуют

Завершённый аудит не выявил подтверждённых проблем безопасности. Это не доказывает отсутствие побочных эффектов у Навыка.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Of 40 static findings, 38 are false positives involving Markdown, Chinese text, official links, credential configuration, or creator identifiers. Two command examples execute an unpinned npm package with automatic installation, creating dependency risk in an environment containing the API key. No evidence found of prompt injection, credential exfiltration, or concealed payloads in the two reviewed files; external package implementation was not reviewed.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

2 Просканировано файлов · 141 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 3 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 6 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 22 местах расположения доказательств

Пункты проверки возможностей (2)
Средний
SKILL.md:31-43
Ruby/shell backtick execution
```bash
The fence itself is Markdown, but its commands run npx -y socialdatax-skills@latest. This automatically executes mutable registry code with access to the configured API key.
Средний
SKILL.md:47-64
Ruby/shell backtick execution
```bash
The documented commands use npx -y socialdatax-skills@latest for additional queries. Automatic execution of an unpinned dependency exposes local credentials if a published version is compromised.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

В этом завершенном аудите не зафиксировано подтвержденных проблем безопасности.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    CLI examples automatically execute socialdatax-skills@latest through npx -y.
    Pin a reviewed package version, verify package integrity, and obtain installation approval before execution in an environment containing SOCIALDATAX_API_KEY.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
6f8bb1404b163fc318fe0b88949763bdeaaf43e9
Хеш содержимого
94bb5f83071611551c28299e47c2f070004775bae0e43f0975b1a784e3dec237
Хеш дерева
d6504e111c9da612b632bdfd5f0e4d2209de1bf57acc29e7fea1cf9324cfffdb
Путь Skill
skills/devinchen2014/xhs-creator-collaboration-evaluation
Хеш данных аудита
e6e8a4d085f591595ec7e2e9a510d758

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded