Подтверждённые проблемы безопасности (3) требуют внимания.
Контекст установки
Исторические доказательства
Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.
Этот отчёт не блокирует и не разрешает манифест или ZIP.
Most static external-command alerts are Markdown backtick false positives, but several install, update, setup, daemon, and notification commands are real risks. The skill also pairs broad Bash and file-write permissions with autonomous and persistent execution modes. No prompt injection text was found in the reviewed files.
Позиция отчета
Исторический отчет
Откройте историю аудита перед использованием этого отчета для установки.
Аттестация аудита
Не подлежит аттестации
Требуемая неизменяемая привязка не завершена.
Проверка человеком
Не проверено
Для этого отчета не зафиксирована проверка человеком.
Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.
01
Цепочка доказательств
Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.
Enable Claude Code native teams in `~/.claude/settings.json`:
The skill instructs enabling native teams in ~/.claude/settings.json. Editing a hidden home-directory config can change Claude Code behavior for the user.
2:Enable CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1 in ~/.claude/settings.json for native teams
The TOON summary instructs changing ~/.claude/settings.json for native teams. That hidden home-directory setting affects user-level Claude Code behavior.
The block directs installation of a third-party Claude Code plugin from GitHub and then installs it. That can introduce untrusted plugin behavior into the agent runtime.
The command runs plugin setup after installation, which can alter local Claude Code or plugin state. It is expected functionality but still changes the user environment.
The inline command installs a global npm package from the public registry. Global npm installs can run package lifecycle scripts and change the user toolchain.
The shell block configures Telegram or Discord callbacks using tokens and webhooks. Passing secrets to CLI commands can expose them through history, logs, or process listings.
The update block runs plugin marketplace update, setup, and doctor commands. Updating and reinitializing a third-party plugin can change local agent behavior.
The table recommends a global npm install for an optional Gemini CLI. Global installs are legitimate but still execute external package installation code.
The quick reference repeats the third-party plugin install command from GitHub. Installing marketplace plugins changes the agent runtime and dependency surface.
Enable Claude Code native teams in `~/.claude/settings.json`:
The line explicitly references access to the hidden Claude settings file. This is legitimate configuration guidance but still touches sensitive user-level agent settings.
The hardcoded GitHub URL is used in an install command for a third-party plugin. The URL is intentional, but it creates an external dependency and install risk.
The TOON summary includes the same hardcoded GitHub install URL. It is a real external install reference, even though no runtime request is shown here.
03
Результаты оценки рисков
Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.
The skill declares Bash, Write, and Edit tools while promoting multi-agent execution for complex tasks. This combination allows broad shell and file changes once activated.
The allowed-tools line grants shell and write access, and the use cases explicitly target complex parallel execution. This is a direct capability-risk combination.
The skill promotes guaranteed completion and an auto-resume daemon. Persistent loops can continue changes after rate limits or failures without fresh user review.
The source describes guaranteed-completion workflows and commands that start auto-resume behavior. The risk is contextual rather than a single syntax pattern.
Notification setup examples pass bot tokens and webhooks as command arguments. These values can be exposed through shell history, logs, or process listings.
The commands include token and webhook placeholders in CLI arguments. This is a common secret-handling risk even when the examples are legitimate.
04
Меры по устранению
В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.
FIX-001
Высокий
Hidden Claude settings modification
Document the exact settings change, require user confirmation, and include rollback instructions.
FIX-002
Высокий
Autonomous persistent modes with broad tool access
Add human checkpoints, scope limits, and stop conditions before Bash, Write, or Edit actions.
FIX-003
Средний
Third-party plugin and package installation commands
Pin trusted releases, publish checksum or signature guidance, and tell users to review source before installation.
FIX-004
Средний
Notification token and webhook handling
Move token configuration to secret storage and avoid command-line token examples.
05
Экспертные доказательства
Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.
Субъект артефакта
Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно
Метаданные анализа
Модель аудита: codex
Состояние анализа: Завершено
Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.