Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-38C27480

7/7/2026, 4:44:57 AM

sonoscli оценка безопасности v3

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
sonoscli
Версия
v3
Сопровождающий
aiskillstore
Источник
github.com/aiskillstore/marketplace/tree/main/skills/mylukin/sonoscli/
Охват
1 Просканировано файлов · 66 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Низкий

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

The skill intentionally uses the external sonos CLI to discover and control Sonos speakers on the local network. Most static command findings are benign markdown examples, but the core external-command behavior is real and should be treated as a controlled local-device action. No prompt injection attempt was found in the skill text.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 66 Проанализировано строк

12 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 4 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 23 местах расположения доказательств

Пункты проверки возможностей (11)
Средний
SKILL.md:27
Ruby/shell backtick execution
Use `sonos` to control Sonos speakers on the local network.
The line instructs the agent to use the external sonos binary to control local speakers.
Средний
SKILL.md:31
Ruby/shell backtick execution
- `sonos discover`
This is a concrete sonos discover command that runs an external CLI and probes the local network.
Средний
SKILL.md:32
Ruby/shell backtick execution
- `sonos status --name "Kitchen"`
This is a concrete status command using the external sonos CLI.
Средний
SKILL.md:33
Ruby/shell backtick execution
- `sonos play|pause|stop --name "Kitchen"`
This is a concrete playback control command using the external sonos CLI.
Средний
SKILL.md:34
Ruby/shell backtick execution
- `sonos volume set 15 --name "Kitchen"`
This is a concrete volume change command using the external sonos CLI.
Средний
SKILL.md:38
Ruby/shell backtick execution
- Grouping: `sonos group status|join|unjoin|party|solo`
The line lists group management subcommands for the external sonos CLI.
Средний
SKILL.md:39
Ruby/shell backtick execution
- Favorites: `sonos favorites list|open`
The line lists favorites subcommands for the external sonos CLI.
Средний
SKILL.md:40
Ruby/shell backtick execution
- Queue: `sonos queue list|play|clear`
The line lists queue management subcommands for the external sonos CLI.
Средний
SKILL.md:41
Ruby/shell backtick execution
- Spotify search (via SMAPI): `sonos smapi search --service "Spotify" --category tracks "query"`
The line gives a concrete SMAPI search command through the external sonos CLI.
Средний
SKILL.md:51
Ruby/shell backtick execution
### `sonos discover` - `no route to host`
The heading references the external sonos discover command as the operation being troubleshot.
Средний
SKILL.md:65
Ruby/shell backtick execution
- Advise the user that they may be running via a Codex or other sandbox that does not permit network
The line describes reproducing the issue by running the sonos discover command in Codex.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Низкий
SKILL.md:10-18
Unpinned External Binary Install
The metadata installs github.com/steipete/sonoscli/cmd/sonos@latest. A mutable latest install can change binary behavior without a matching skill content change.
The install metadata clearly requires the sonos binary and fetches it from a Go module using the mutable latest selector.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    State-changing speaker commands
    Tell agents to request clear user confirmation before changing playback, volume, groups, favorites, or queues.
  2. FIX-002
    Низкий
    Mutable Go install target
    Pin the Go module installer to a reviewed version instead of github.com/steipete/sonoscli/cmd/sonos@latest.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable