Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-969417FC

7/6/2026, 11:59:27 AM

eightctl оценка безопасности v4

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
eightctl
Версия
v4
Сопровождающий
aiskillstore
Источник
github.com/aiskillstore/marketplace/tree/main/skills/mylukin/eightctl/
Охват
1 Просканировано файлов · 51 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённые проблемы безопасности (3) требуют внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

The skill relies on the external eightctl CLI, which can control an Eight Sleep device after authentication. Markdown-only detections for config paths, homepage metadata, and rate-limit notes were false positives, but mutable installation, credential handling, and device-changing commands require clear safeguards.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 51 Проанализировано строк

11 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 1 месте расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 1 месте расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 10 местах расположения доказательств

Пункты проверки возможностей (8)
Средний
SKILL.md:27
Ruby/shell backtick execution
Use `eightctl` for Eight Sleep pod control. Requires auth.
The backticks are Markdown, not Ruby execution, but this line confirms reliance on the external eightctl command.
Средний
SKILL.md:36
Ruby/shell backtick execution
- `eightctl status`
The backticks are Markdown, but the skill instructs the agent to run the external eightctl status command.
Средний
SKILL.md:37
Ruby/shell backtick execution
- `eightctl on|off`
The backticks are Markdown, but the skill documents external eightctl on and off commands that change device state.
Средний
SKILL.md:38
Ruby/shell backtick execution
- `eightctl temp 20`
The backticks are Markdown, but the skill documents an external eightctl temperature command.
Средний
SKILL.md:42
Ruby/shell backtick execution
- Alarms: `eightctl alarm list|create|dismiss`
The backticks are Markdown, but the skill documents external eightctl alarm commands.
Средний
SKILL.md:43
Ruby/shell backtick execution
- Schedules: `eightctl schedule list|create|update`
The backticks are Markdown, but the skill documents external eightctl schedule commands.
Средний
SKILL.md:44
Ruby/shell backtick execution
- Audio: `eightctl audio state|play|pause`
The backticks are Markdown, but the skill documents external eightctl audio commands.
Средний
SKILL.md:45
Ruby/shell backtick execution
- Base: `eightctl base info|angle`
The backticks are Markdown, but the skill documents external eightctl base commands.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (3)

RISK-001 Средний
SKILL.md:14-18
Mutable External Tool Installation
The skill installs github.com/steipete/eightctl/cmd/eightctl@latest, which can resolve to different code over time.
The metadata explicitly declares a Go install target with the @latest version selector.
RISK-002 Средний
SKILL.md:27-32
Sensitive Account Credentials Required
The skill requires Eight Sleep authentication and supports config or environment variables for email and password.
The instructions state that authentication is required and name credential storage mechanisms.
RISK-003 Средний
SKILL.md:36-50
Authenticated Device State Changes
The skill can change temperature, power, alarms, schedules, audio, and base position through an unofficial API.
The command list includes several mutating operations, and the notes state the API is unofficial.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    The installer references a mutable Go module version.
    Pin the eightctl module to a reviewed release and document how users can verify the installed binary.
  2. FIX-002
    Средний
    The skill requires Eight Sleep account credentials through config or environment variables.
    Tell users to protect the config file permissions and never paste credentials into chat transcripts.
  3. FIX-003
    Средний
    Commands can change temperature, alarms, schedules, audio, or base position.
    Require explicit confirmation for every mutating command, not only temperature and alarms.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable