Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-E406BF64

10/9/2026, 6:15:38 PM

adm-google-ads оценка безопасности v1

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
adm-google-ads
Версия
v2026-10-08
Сопровождающий
ownway18
Источник
github.com/ownway18/adm-google-ads-skill/tree/9936760cfbfae2118a3c732fcb81860f12125d8e/skills/adm-google-ads
Охват
1 Просканировано файлов · 368 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most alerts match Markdown formatting, legitimate MCP configuration, or authorized advertising workflows. Expanded bearer tokens in command arguments and chat-based setup create credential exposure risks. No evidence found of malware or prompt injection in the reviewed file; the external ADM server implementation was not supplied.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 368 Проанализировано строк

4 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 10 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 3 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 12 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 50 местах расположения доказательств

Пункты проверки возможностей (3)
Высокий
SKILL.md:37
Generic API/secret keys
- Claude Code: `claude mcp add --transport http --scope user adm https://app.adm.cc/mcp --header "Au
The shell expands ADM_API_KEY into the --header argument, exposing the bearer token to process inspection or command logging during MCP setup.
Высокий
SKILL.md:233
Generic API/secret keys
curl -F file=@<path> -H "Authorization: Bearer $ADM_API_KEY" https://app.adm.cc/mcp/uploads
The curl -H argument contains the expanded bearer token, potentially exposing it through process arguments or execution logs despite authorized uploads.
Высокий
SKILL.md:236
Generic API/secret keys
In PowerShell use `curl.exe` and `$env:ADM_API_KEY`. The response contains `upload_id`, `width`, `he
The PowerShell variant substitutes the credential into the preceding curl.exe header argument, carrying the same process-argument exposure risk.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
SKILL.md:33
Chat-Based Setup Retains API Credentials
The quick option says, "if the user pastes the key into the chat, use it only to write the user-level configuration below". This legitimizes entering a credential into retained conversation history; the rotation recommendation does not prevent exposure before rotation.
The setup explicitly accepts pasted keys and acknowledges chat-history retention. This is a credential-handling risk, not evidence of malicious exfiltration.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    Expanded bearer tokens appear in CLI arguments during Claude Code setup and image uploads.
    Use supported environment-backed authentication or protected configuration inputs that keep tokens out of process arguments and command logs.
  2. FIX-002
    Средний
    The quick setup option accepts an API key pasted into chat.
    Remove chat-based key entry and require local secret entry outside the conversation. Require immediate rotation if a key was already pasted.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
e406bf64b5db6e514879399e87b346fa7ff7c2fb
Хеш содержимого
0d4ebb927c42019c59002f6562aaaea5c8832d9b4a803fa60872f814abc4b4b0
Хеш дерева
ebc08671c257f79e5fdafd4ac576ad21320fe62017c19ae018fcb40db6c3d25a
Путь Skill
skills/ownway18/adm-google-ads
Хеш данных аудита
dadec2af6dfd380d88e4fb37e65771b5

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active