Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-D964E8E6

6/30/2026, 6:02:24 AM

ena-database оценка безопасности v6

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
ena-database
Версия
v6
Сопровождающий
K-Dense-AI
Источник
github.com/K-Dense-AI/claude-scientific-skills/tree/main/scientific-skills/ena-database
Охват
2 Просканировано файлов · 695 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Низкий

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Static analysis reported many external command, network, sensitive data, and weak cryptography patterns. Manual review found documentation for public ENA APIs, FTP download locations, ENA accession examples, and MD5 checksum lookup references, with no executable skill code, prompt injection, credential access, or malicious intent.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

2 Просканировано файлов · 695 Проанализировано строк

4 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 5 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 2 местах расположения доказательств

Пункты проверки возможностей (3)
Низкий
SKILL.md:90-104references/api_reference.md:63-91
Public Network API Examples
The skill documents requests to public ENA REST endpoints. This is expected for the skill purpose, but users should understand that prompts may lead to outbound requests when an agent has network tools.
The referenced lines show direct Python requests examples to official ebi.ac.uk ENA endpoints. The behavior is clearly documented and aligned with the skill purpose, with no evidence of credential exfiltration.
Низкий
references/api_reference.md:154-177references/api_reference.md:458-459
Bulk FTP Download Guidance
The reference explains how to obtain FASTQ and submitted files through ENA FTP locations. This is legitimate genomics functionality, but it can cause large data transfers if executed by an enabled tool.
The FTP references are official ENA data transfer guidance, not hidden network destinations. The remaining risk is operational, because bulk downloads can consume bandwidth and storage.
Низкий
SKILL.md:52references/api_reference.md:463-468
Command-Line Tool Examples Are Documentation Only
The static external command detections are mostly Markdown code spans and bash examples for enaBrowserTools. The skill contains instructions, not executable scripts that invoke shell commands automatically.
The cited lines are Markdown documentation and example commands. I found no wrapper script, subprocess call, or automatic command execution path in the scanned skill files.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Низкий
references/api_reference.md:33-34references/api_reference.md:394-407
Sensitive and Cryptography Static Hits Are Naming Collisions
SAM and SAMEA strings are ENA sample accession examples, not Windows SAM database access. MD5 appears as a checksum lookup and file integrity metadata field, not as password hashing or custom cryptography.
The surrounding ENA API tables define accession filters and CRAM reference checksum lookup. There is no evidence of local credential file access or weak cryptography used for security decisions.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable