Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-1F79E59A

11/9/2026, 12:06:51 PM

deploy-to-vercel оценка безопасности v6

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
deploy-to-vercel
Версия
v4.0.0
Сопровождающий
vercel-labs
Источник
github.com/vercel-labs/agent-skills/tree/1a2c79d4e6c4a2283dc2c614b6538cbe1ed5ca62/skills/deploy-to-vercel
Охват
1 Просканировано файлов · 231 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

Неизвестно

Наивысшая серьёзность подтверждённого результата

Высокий

Подтверждённые проблемы безопасности (2) требуют внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

All 68 static findings are false positives involving Markdown, documentation links, error redirection, or deployment account checks. Two semantic risks remain: indiscriminate Git staging and deployment paths that can publish production without explicit production approval. No evidence found of malicious exfiltration or audit-directed prompt injection.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 231 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 2 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 4 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 50 местах расположения доказательств

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (2)

RISK-001 Высокий
SKILL.md:59-69
Broad Git Staging Can Publish Unreviewed Files
The approved push workflow runs "git add ." before committing and pushing. Without reviewing changes, this can publish unrelated work or unignored secrets.
The example explicitly stages every change under the current directory without a diff or secret review. Push approval does not identify the staged contents.
RISK-002 Высокий
SKILL.md:11SKILL.md:59-71SKILL.md:162-170SKILL.md:230
Production Deployment Paths Bypass The Preview Default
The skill requires previews unless production is requested. Its Git workflow pushes the current branch without checking production settings, and its no-auth fallback uses a temporary production URL.
The text explicitly says production branches deploy production, but the push steps never check the branch. The temporary fallback also explicitly describes production deployment.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    The Git workflow stages every local change before committing and pushing.
    Review changed and untracked files, check for secrets, and stage only approved paths before requesting approval for the exact commit and destination.
  2. FIX-002
    Высокий
    Git pushes and temporary deployments can publish production despite the stated preview default.
    Check the current branch against Vercel production settings before pushing. Use a preview branch, and require explicit production approval before temporary deployments.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
1f79e59ae427a74eab604c013e03b61f04634721
Хеш содержимого
418ca2a60d35c551e6cb645f4e82c1b704a8335486ffe74b1b3d0617a17504e5
Хеш дерева
7969ba1806d45d14307ec1826d4cba583d78aa650ea5164f3e196b2ecaf0806f
Путь Skill
skills/vercel-labs/deploy-to-vercel
Хеш данных аудита
d644699666bb52a82868a68fd8184a0d

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active