Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-0F50080F

6/30/2026, 11:34:09 AM

onboard оценка безопасности v2

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
onboard
Версия
v2
Сопровождающий
pbakaus
Источник
github.com/pbakaus/impeccable/tree/main/source/skills/onboard/
Охват
1 Просканировано файлов · 250 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Низкий

Подтверждённые проблемы безопасности (2) требуют внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Static analysis reported command execution, weak cryptography, browser storage, and reconnaissance patterns. Review found the command, crypto, and reconnaissance hits are markdown or natural-language false positives. LocalStorage appears only as benign onboarding-state guidance, so the skill is safe to publish with a minor privacy caution.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 250 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Не зафиксировано этим аудитом

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Не зафиксировано этим аудитом

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (2)

RISK-001 Низкий
SKILL.md:215SKILL.md:221SKILL.md:222
Browser Storage Guidance Stores Only Onboarding State
Verdict: FALSE_POSITIVE for sensitive data exposure. The LocalStorage examples store completion and tooltip-seen flags only. This is not credential storage, but implementers should avoid storing personal data or secrets in browser storage.
The examples use fixed onboarding keys with boolean-like values. There is no evidence of tokens, credentials, profile data, or exfiltration.
RISK-002 Низкий
SKILL.md:166
System Reconnaissance Finding Is Validation Guidance
Verdict: FALSE_POSITIVE. The reported line asks designers to validate whether a user completed an onboarding task correctly. No evidence found of host enumeration, system probing, or environment discovery.
The matched text is a product onboarding checklist item. It is unrelated to system reconnaissance or local machine inspection.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Статические ложные срабатывания проигнорированы (2)
Низкий
SKILL.md:112SKILL.md:116SKILL.md:178SKILL.md:180SKILL.md:219
Static External Command Findings Are Markdown False Positives
Verdict: FALSE_POSITIVE. The reported backtick execution locations are markdown code fences or inline UI examples, not executable Ruby or shell commands. No evidence found of command execution instructions or user-controlled shell input.
The matched lines are visible as markdown delimiters or inline keyboard and help text. They do not invoke a shell, interpreter, or external process.
Низкий
SKILL.md:3SKILL.md:6SKILL.md:13SKILL.md:47SKILL.md:72SKILL.md:106SKILL.md:143SKILL.md:162SKILL.md:182SKILL.md:243
Weak Cryptography Findings Are Natural-Language False Positives
Verdict: FALSE_POSITIVE. The weak cryptography detector appears to match text such as design-related wording, headings, and UX guidance. No evidence found of DES, MD5, SHA-1, encryption code, hashing code, or cryptographic configuration.
The skill is a prose design guide and contains no cryptographic API usage. The reported lines are headings or UX instructions.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable