📦

ci-cd-security

Name: ci-cd-security
Author: superagent-ai

Ревизия содержимого r1 Безопасно 🔑 Переменные окружения⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе

Audit GitHub Actions Workflows

GitHub Actions workflows can expose credentials, repositories, and releases through subtle configuration errors. This skill applies a structured security review and proposes concrete fixes.

Поддерживает: Claude Codex Code(CC)

📊 75 Адекватно

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "ci-cd-security" from https://skillstore.io/skills/superagent-ai-ci-cd-security.md and its manifest at https://skillstore.io/api/skills/superagent-ai-ci-cd-security/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/superagent-ai-ci-cd-security.md Подписанный manifest GET /api/skills/superagent-ai-ci-cd-security/manifest Подписанный lockfile GET /api/skills/superagent-ai-ci-cd-security/lockfile

Протестировать

Использование «ci-cd-security». Review a pull request workflow that places the pull request title directly in a shell step.

Ожидаемый результат:

P0: The pull request title is attacker-controlled and enters the shell command.
Impact: A crafted title can execute commands with the job permissions.
Recommendation: Pass the title through an environment variable and quote it in the shell.

Использование «ci-cd-security». Audit a package release workflow that uses a repository token and dependency caching.

Ожидаемый результат:

P0: Dependency caching can carry poisoned content into the release path.
P2: A long-lived registry token increases credential exposure.
Recommendation: Remove release caching and use trusted publishing with a protected environment.

Использование «ci-cd-security». Check a pull request test workflow with read-only permissions and commit-pinned actions.

Ожидаемый результат:

No findings against the standard rule set. Repository settings, action source behavior, and dependency runtime behavior were not verified.

Аудит безопасности

Безопасно

v1 • 08.09.2026 Открыть версионный отчет

All 65 static findings are false positives caused by security terminology, Markdown backticks, or illustrative workflow snippets. The skill performs read-only YAML review, requests no credentials, and contains no prompt injection or hidden execution intent.

Просканировано файлов

669

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Факторы риска

🔑 Переменные окружения (4)

references/checklist.md:67 SKILL.md:3 SKILL.md:40 SKILL.md:138

⚙️ Внешние команды (50)

🌐 Доступ к сети (3)

references/patterns.md:209 references/patterns.md:219 SKILL.md:105

📁 Доступ к файловой системе (2)

references/patterns.md:76 references/patterns.md:82

Последний завершенный статический и семантический аудит не обнаружил подтвержденных проблем безопасности. Это не доказывает отсутствие побочных эффектов у навыка.

Аудитор:: codex

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/superagent-ai-ci-cd-security/audits/1?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/superagent-ai-ci-cd-security/security.svg)](https://skillstore.io/skills/superagent-ai-ci-cd-security?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/superagent-ai-ci-cd-security?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/superagent-ai-ci-cd-security/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/superagent-ai-ci-cd-security.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

superagent-ai. (2026). ci-cd-security security audit report (audit version 1) [Author version unspecified]. Skillstore. https://skillstore.io/skills/superagent-ai-ci-cd-security/audits/1

Цитата BibTeX

@techreport{superagent-ai-superagent-ai-ci-cd-security-2026,
  author = {superagent-ai},
  title = {ci-cd-security security audit report (audit version 1)},
  institution = {Skillstore},
  year = {2026},
  number = {1},
  url = {https://skillstore.io/skills/superagent-ai-ci-cd-security/audits/1},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "ci-cd-security security audit report (audit version 1)"
version: "unspecified"
type: report
authors:
  - name: "superagent-ai"
date-released: "2026-09-08"
url: "https://skillstore.io/skills/superagent-ai-ci-cd-security/audits/1"
identifiers:
  - type: other
    value: "skillstore:superagent-ai-ci-cd-security:audit:1"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Review a pull request workflow

Find unsafe triggers, shell interpolation, and token permissions before a workflow change merges.

Harden release automation

Assess publishing workflows for long-lived tokens, cache poisoning, missing environments, and absent provenance.

Triage workflow risk at scale

Apply a consistent severity model across workflow findings and prioritize the most exploitable paths.

Попробуйте эти промпты

Basic workflow review

Review this GitHub Actions workflow for security issues. Group findings by severity and explain each recommended change.

Check untrusted input

Inspect this workflow for attacker-controlled values entering shell steps, environment files, outputs, artifacts, or checkout references.

Harden a release workflow

Audit this release workflow for permissions, token usage, environments, cache poisoning, action pinning, attestations, and tag protections.

Analyze a workflow chain

Trace trust boundaries across these linked workflows. Identify privileged paths from fork input, artifacts, caches, metadata, and self-hosted runners.

Лучшие практики

Provide complete workflow files so triggers, permissions, and job relationships remain visible.
Include linked workflows when artifacts, caches, or workflow_run events cross trust boundaries.
Verify suggested commit pins and repository settings through trusted administrative sources.

Избегать

Do not treat a clean YAML scan as proof that the complete CI/CD system is secure.
Do not hide attacker-controlled workflow values behind quoting without separating them from shell source.
Do not grant broad permissions to simplify remediation for a single workflow step.