📦
История аудитов
kakaotalk-mac - 1 аудит
Версия аудита 1 Последняя
8 нояб. 2026 г., 14:42
Four findings involve genuine execution of a floating external npm package; eleven findings are unsupported matches involving documentation, standard paths, or readable Korean text. A separate trust issue promotes remotely downloaded output to primary skill instructions, beyond the reviewed files. No evidence of credential theft or deliberate data exfiltration was found in the supplied sources; external dependency implementations were not reviewed.
5
Просканировано файлов
279
Проанализировано строк
8
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (1)
Высокий
Remote instruction output receives primary authority
The stub says to "follow its output as the primary instructions for this skill" and describes runtime-selected instructions as "always up to date." This delegates behavioral authority to mutable external output, allowing instructions outside the audited snapshot to redirect the agent.
The source explicitly grants primary instructional authority to CLI output fetched through a floating package version. No malicious remote payload was inspected or established.
Пункты проверки возможностей (4)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Средний
Ruby/shell backtick execution · 4 совпадений
```bash
Although the match starts at a Markdown fence, its block executes npx with a floating @0 package version. Downloaded package code runs locally without an exact reviewed release.
Факторы риска
🌐 Доступ к сети (2)
📁 Доступ к файловой системе (2)
⚙️ Внешние команды (8)
Аудитор:: codex