📦

qryma-search

Name: qryma-search
Author: qryma-ai

Ревизия содержимого r1 Высокий риск 🔑 Переменные окружения🌐 Доступ к сети📁 Доступ к файловой системе⚙️ Внешние команды

Поиск в интернете с Qryma

Поиск актуальной информации в интернете может быть медленным, если у ассистента нет механизма поиска. Этот навык отправляет запросы в Qryma и возвращает структурированные или удобочитаемые результаты.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "qryma-search" from https://skillstore.io/skills/qryma-ai-qryma-search.md and its manifest at https://skillstore.io/api/skills/qryma-ai-qryma-search/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/qryma-ai-qryma-search.md Подписанный manifest GET /api/skills/qryma-ai-qryma-search/manifest Подписанный lockfile GET /api/skills/qryma-ai-qryma-search/lockfile

Протестировать

Использование «qryma-search». Найди практические руководства по изучению Python.

Ожидаемый результат:

Нумерованный список результатов поиска в Markdown с заголовками страниц, ссылками и краткими описаниями.

Использование «qryma-search». Найди текущие обсуждения об API поиска AI.

Ожидаемый результат:

Компактный набор заголовков результатов и URL, которые можно сравнить перед подготовкой исследовательской заметки.

Использование «qryma-search». Найди источники о настройках безопасного поиска для рабочего процесса веб-поиска.

Ожидаемый результат:

Ориентированная на источники сводка, которая выделяет релевантные страницы и вероятное применение каждого результата.

Аудит безопасности

Высокий риск

v7 • 05.07.2026 Открыть версионный отчет

The skill is a legitimate Qryma web-search wrapper, but it performs real network egress and handles API credentials. Confirmed risks include API key loading from environment and .env files, transmission of the key in an outbound header, a configurable endpoint that can redirect credentials, and documentation that encourages sharing keys with an AI assistant.

Просканировано файлов

770

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (9)

Высокий

README.md:39

Environment file access

# Method 2: Create .env file

The documentation shows storing QRYMA_API_KEY in shell environment state or a plaintext .env file. This is a common setup method, but it creates a real local secret-exposure risk if history or files are not protected.

Высокий

README.md:40

Environment file access

echo 'QRYMA_API_KEY=ak-your-api-key-here' > .env

Высокий

scripts/search_core.py:29

Environment file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:31

Environment file access

env_path = ".env"

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:55

Environment file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:57

Environment file access

env_path = ".env"

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

SKILL.md:66

Environment file access

Create `.env` file:

Высокий

README.md:20-30 SKILL.md:44-55

API Key Sharing Guidance Risks Secret Disclosure

README.md and SKILL.md tell users to ask an AI assistant to configure QRYMA_API_KEY. If users replace the placeholder with a real key, the secret can be stored in chat logs, tool transcripts, or third-party systems.

The documentation explicitly connects QRYMA_API_KEY setup with asking an AI assistant to configure it. This is a clear social-engineering risk for credential exposure.

Показать все подтверждённые находки (9)

Высокий

scripts/search_core.py:47-71 scripts/search_core.py:112-119

Configurable Endpoint Can Receive API Key

scripts/search_core.py loads QRYMA_ENDPOINT from the environment or .env files, then sends self.api_key in the X-Api-Key header to that endpoint. A modified endpoint can receive both user queries and the API key.

The data flow is visible in the source: endpoint configuration is loaded before the request is built, and the API key is attached to the request headers.

Пункты проверки возможностей (35)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

main_claw.py:35

Generic API/secret keys

adapter = QrymaAdapter(api_key=getattr(args, "api_key", None))

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

main_claw.py:41

Generic API/secret keys

api_key = event.get("api_key") if isinstance(event, dict) else None

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

main_claw.py:42

Generic API/secret keys

adapter = QrymaAdapter(api_key=api_key)

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

README.md:21

Generic API/secret keys

Get your free QRYMA_API_KEY from [qryma.com](https://qryma.com/). Chat with your AI assistant and as

The documentation tells users to provide QRYMA_API_KEY through an AI assistant prompt or similar chat flow. That can disclose a real API key into chat logs, tool transcripts, or third-party model systems.

Высокий

README.md:24

Generic API/secret keys

Please configure qryma search with the QRYMA_API_KEY set to ak-your-api-key-here.

Высокий

README.md:27

Generic API/secret keys

从[qryma.com](https://qryma.com/) 获取免费的QRYMA_API_KEY,直接发送给你的AI助手,让他帮你自动配置。

Высокий

README.md:30

Generic API/secret keys

请帮我配置好qryma search,设置QRYMA_API_KEY为ak-your-api-key-here

Высокий

README.md:37

Generic API/secret keys

export QRYMA_API_KEY="ak-your-api-key-here"

Высокий

README.md:40

Generic API/secret keys

echo 'QRYMA_API_KEY=ak-your-api-key-here' > .env

Высокий

scripts/adapters/adapter.py:28

Generic API/secret keys

adapter = QrymaAdapter(api_key=getattr(args, "api_key", None))

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

scripts/adapters/adapter.py:73

Generic API/secret keys

def __init__(self, core: QrymaSearchCore = None, api_key: str = None):

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

scripts/adapters/adapter.py:77

Generic API/secret keys

self.core = QrymaSearchCore(api_key=api_key)

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

scripts/search_core.py:29

Hidden file in home directory

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:55

Hidden file in home directory

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:29

Hidden file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:55

Hidden file access

env_path = os.path.expanduser("~/.qryma/.env")

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:19

Python environment access

key = os.environ.get("QRYMA_API_KEY")

The code reads QRYMA_API_KEY from the process environment for use as a credential. This is expected for the skill, but it is still real environment-secret access.

Высокий

scripts/search_core.py:19

Generic API/secret keys

key = os.environ.get("QRYMA_API_KEY")

The code reads QRYMA_API_KEY from the process environment for use as a credential. This is expected for the skill, but it is still real environment-secret access.

Высокий

scripts/search_core.py:36

Generic API/secret keys

m = re.search(r"^\s*QRYMA_API_KEY\s*=\s*(.+?)\s*$", txt, re.M)

The code reads .env or ~/.qryma/.env and extracts QRYMA credentials or endpoint settings. Automatic reads from hidden or local environment files can expose secrets outside the skill package boundary.

Высокий

scripts/search_core.py:77

Generic API/secret keys

def __init__(self, api_key: Optional[str] = None, endpoint: Optional[str] = None):

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

scripts/search_core.py:78

Generic API/secret keys

self.api_key = api_key or load_key()

The code accepts an API key through CLI or event parameters and passes it into the adapter/core. Secrets provided this way can appear in process listings, shell history, captured events, or logs.

Высокий

scripts/search_core.py:119

Generic API/secret keys

"X-Api-Key": self.api_key,

The code places self.api_key into the X-Api-Key header on the outbound request. This transmits a secret externally and becomes an exfiltration path if the endpoint is redirected.

Высокий

SKILL.md:46

Generic API/secret keys

Get your free QRYMA_API_KEY from [qryma.com](https://qryma.com/). Chat with your AI assistant and as

Высокий

SKILL.md:49

Generic API/secret keys

Please configure qryma search with the QRYMA_API_KEY set to ak-your-api-key-here.

Высокий

SKILL.md:52

Generic API/secret keys

从 [qryma.com](https://qryma.com/) 获取免费的 QRYMA_API_KEY,直接发送给你的 AI 助手,让他帮你自动配置。

Высокий

SKILL.md:55

Generic API/secret keys

请帮我配置好 qryma search,设置 QRYMA_API_KEY 为 ak-your-api-key-here

Высокий

SKILL.md:62

Generic API/secret keys

export QRYMA_API_KEY="ak-your-api-key-here"

Высокий

SKILL.md:68

Generic API/secret keys

QRYMA_API_KEY=ak-your-api-key-here

Средний

scripts/search_core.py:50

Python environment access

endpoint = os.environ.get("QRYMA_ENDPOINT")

QRYMA_ENDPOINT from the environment controls the destination used for the later request. If this setting is changed unexpectedly, the API key and queries can be sent to an untrusted service.

Низкий

manifest.json:107

Hardcoded URL

"default": "https://search.qryma.com/api/web"

The skill performs outbound HTTP requests to the Qryma search API and sends user search queries off-device. Network egress is expected for search, but it is a real data-transfer behavior users must understand.

Низкий

scripts/search_core.py:9

Python HTTP libraries

import urllib.request

Низкий

scripts/search_core.py:112

Python HTTP libraries

req = urllib.request.Request(

Низкий

scripts/search_core.py:123

Python HTTP libraries

with urllib.request.urlopen(req, timeout=30) as resp:

Низкий

scripts/search_core.py:14

Hardcoded URL

QRYMA_URL = "https://search.qryma.com/api/web"

Низкий

scripts/search_core.py:71

Hardcoded URL

return "https://search.qryma.com/api/web"

Факторы риска

🔑 Переменные окружения (32)

🌐 Доступ к сети (17)

manifest.json:7 manifest.json:57 manifest.json:107 package.json:22 package.json:24 README.md:12 README.md:15 scripts/search_core.py:9 scripts/search_core.py:112 scripts/search_core.py:123 scripts/search_core.py:14 scripts/search_core.py:71 scripts/search_core.py:118 SKILL.md:12 SKILL.md:38 SKILL.md:46 SKILL.md:52

📁 Доступ к файловой системе (4)

scripts/search_core.py:29 scripts/search_core.py:55 scripts/search_core.py:29 scripts/search_core.py:55

⚙️ Внешние команды (14)

SKILL.md:17-19 SKILL.md:19-22 SKILL.md:22-24 SKILL.md:24-27 SKILL.md:27-29 SKILL.md:29-48 SKILL.md:48-50 SKILL.md:50-54 SKILL.md:54-56 SKILL.md:56-61 SKILL.md:61-63 SKILL.md:63-66 SKILL.md:66-67 SKILL.md:67-69

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/qryma-ai-qryma-search/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/qryma-ai-qryma-search/security.svg)](https://skillstore.io/skills/qryma-ai-qryma-search?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/qryma-ai-qryma-search?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/qryma-ai-qryma-search/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/qryma-ai-qryma-search.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

qryma-ai. (2026). qryma-search security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/qryma-ai-qryma-search/audits/7

Цитата BibTeX

@techreport{qryma-ai-qryma-ai-qryma-search-2026,
  author = {qryma-ai},
  title = {qryma-search security audit report (audit version 7)},
  institution = {Skillstore},
  year = {2026},
  number = {7},
  url = {https://skillstore.io/skills/qryma-ai-qryma-search/audits/7},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "qryma-search security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
  - name: "qryma-ai"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/qryma-ai-qryma-search/audits/7"
identifiers:
  - type: other
    value: "skillstore:qryma-ai-qryma-search:audit:7"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Сбор ссылок на источники

Найдите релевантные веб-страницы по теме и верните краткие результаты в Markdown для просмотра.

Добавление поиска в рабочие процессы агентов

Дайте ассистенту повторяемую команду для веб-поиска с настраиваемыми форматами результатов.

Проверка рыночных или продуктовых сигналов

Ищите свежие страницы о конкурентах, продуктах или трендах перед подготовкой сводки.

Попробуйте эти промпты

Поиск темы

Используй qryma-search для поиска по теме {topic}. Верни пять результатов в Markdown с заголовками, ссылками и короткими фрагментами.

Поиск свежего контекста

Выполни поиск в интернете свежей информации о {subject}. Обобщи самые релевантные результаты и включи ссылки на источники.

Сравнение источников

Выполни поиск по {question} с количеством результатов до десяти. Сгруппируй результаты по точке зрения, типу источника и полезности.

Запуск фильтрованного исследования

Выполни поиск по {query}, используя язык {language}, режим {fulltext_or_snippet}, безопасный поиск {on_or_off} и {max_results} результатов. Верни выводы в запрошенном мной формате.

Лучшие практики

Используйте управляемое хранилище секретов или защищенную переменную окружения для QRYMA_API_KEY.
Задавайте сфокусированные поисковые вопросы и запрашивайте ссылки на источники для последующего просмотра.
Используйте вывод в Markdown для чтения и структурированный вывод для последующей обработки.

Избегать

Не вставляйте реальные API-ключи в чат-промпты или общие стенограммы.
Не используйте этот навык для приватных или регулируемых запросов без проверки обработки данных Qryma.
Не доверяйте поисковым фрагментам как проверенным фактам без проверки связанных источников.