Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-62B31C6D

9/11/2026, 9:27:10 PM

gpt-series-reasoning-style оценка безопасности v1

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
gpt-series-reasoning-style
Версия
v1
Сопровождающий
jadeyingwah
Источник
github.com/jadeyingwah/gpt-series-reasoning-style/tree/a8ee3c963ce3bd97d9e2076d54cd0f3334d45d39/
Охват
94 Просканировано файлов · 13,319 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Сводка подтверждённой проблемы

Подтвержденные результаты проверки безопасности отсутствуют

Завершённый аудит не выявил подтверждённых проблем безопасности. Это не доказывает отсутствие побочных эффектов у Навыка.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

The audit confirms one high-risk issue: scripts/claim-check.py executes commands from an untrusted claims file with shell=True. The other reviewed matches are false positives from documentation, defensive patterns, test harnesses, installer mechanics, or static-site content; the confirmed issue requires remediation before publication. Static review was capped at 400/536 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

94 Просканировано файлов · 13,319 Проанализировано строк

1 элемент показан для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 13 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 46 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 48 местах расположения доказательств

Пункты проверки возможностей (1)
Высокий
scripts/claim-check.py:352
Python subprocess.run
proc = subprocess.run(cmd, shell=True, cwd=str(root),
At line 352, subprocess.run uses shell=True on each command parsed from an untrusted claims file. A malicious claims file can execute arbitrary shell commands despite the blacklist, so this is a real command-execution risk.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

В этом завершенном аудите не зафиксировано подтвержденных проблем безопасности.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    scripts/claim-check.py executes untrusted claim commands with shell=True.
    Replace shell execution with a constrained argv-based runner, or execute claims inside a mandatory sandbox with an explicit trusted-command policy.
  2. FIX-002
    Высокий
    The destructive-command blacklist is only a best-effort filter.
    Treat the blacklist as defense in depth, reject arbitrary command strings by default, and require human review for any exceptional execution path.
  3. FIX-003
    Средний
    Static review capped
    Manually review the omitted 136 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  4. FIX-004
    Средний
    The checker can inspect project files and run project test code during verification.
    Document the trust boundary clearly and isolate verification in a disposable environment with least-privilege filesystem access.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
62b31c6da2320aa681c2be02940b19ba85fea59b
Хеш содержимого
b7bfcf1ed7d2e17164ad539a69804ad5faf99730d220fa2aa1101666895dbd43
Хеш дерева
2cde25755840b2bbfe81391605a3d289ad51c972d2d5b75b98e888888ed470ce
Путь Skill
skills/jadeyingwah/gpt-series-reasoning-style
Хеш данных аудита
52a653d7f12f90d5be35846fac05e6f7

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded