Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-FF373A39

6/29/2026, 6:16:36 PM

bruno-api оценка безопасности v7

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
bruno-api
Версия
v7
Сопровождающий
DiversioTeam
Источник
github.com/DiversioTeam/agent-skills-marketplace/tree/main/plugins/bruno-api/skills/bruno-api
Охват
1 Просканировано файлов · 171 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Низкий

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

AI review dismissed the static external-command and weak-cryptography alerts as false positives from Markdown prose and inline literals. The skill has low residual risk because it declares Bash and file editing tools and can write documentation to user-specified paths.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 171 Проанализировано строк

1 элемент показан для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Не зафиксировано этим аудитом

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 2 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 1 месте расположения доказательств

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Низкий
SKILL.md:10-15SKILL.md:152-153
Broad Local Tool Permissions Require Normal User Caution
The skill declares Bash and file editing tools and can write generated documentation to a user-provided output path. This is legitimate for documentation generation but should remain limited to trusted repositories.
The tool declarations and output-writing workflow are explicit. I found no malicious command, but the capability can modify local files when the user asks for output writing.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Статические ложные срабатывания проигнорированы (2)
Низкий
SKILL.md:24SKILL.md:25SKILL.md:29SKILL.md:30SKILL.md:34SKILL.md:35SKILL.md:53SKILL.md:54SKILL.md:56SKILL.md:57SKILL.md:58SKILL.md:59SKILL.md:60SKILL.md:61SKILL.md:62SKILL.md:63SKILL.md:67SKILL.md:68SKILL.md:69SKILL.md:75SKILL.md:94SKILL.md:95SKILL.md:96SKILL.md:97SKILL.md:98SKILL.md:100SKILL.md:101SKILL.md:106SKILL.md:116SKILL.md:144SKILL.md:146SKILL.md:148SKILL.md:149SKILL.md:151SKILL.md:152SKILL.md:164SKILL.md:165SKILL.md:168
Static Backtick Command Findings Are Markdown Literals
The analyzer flagged Markdown inline code and command-like documentation as Ruby shell execution. These lines describe file names, headings, CLI flags, or output sections and are not executable code.
The file is Markdown skill instructions, and the flagged backticks mark literal examples or labels. I found no Ruby source, script file, or shell expansion syntax at these locations.
Низкий
SKILL.md:3SKILL.md:20SKILL.md:160
Weak Cryptography Findings Are Prose Substring Matches
The high-severity weak cryptography alerts are false positives. The flagged lines contain description text, a section title, and compatibility prose, not cryptographic functions or algorithms.
Line review shows ordinary prose and frontmatter, with no hash, cipher, password, or transport-security implementation. The matches appear to come from substrings inside words.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable