Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-0B57ADB0

11/10/2026, 5:25:24 AM

yuanjing-image-connect оценка безопасности v1

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
yuanjing-image-connect
Версия
v1
Сопровождающий
zhouguida123-svg
Источник
github.com/zhouguida123-svg/yuanjing-image-connect/tree/4a330d94ab7d3d41f803b51da1c34a1552cee8be/plugin/skills/yuanjing-image-connect
Охват
1 Просканировано файлов · 22 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

Неизвестно

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most static matches are Markdown formatting, a standard web path, or readable multilingual text rather than shell execution or obfuscation. The workflow does require local execution of downloaded authentication and connection programs, whose implementations are outside this audit. Mutable remote instructions and same-source checksums leave an external trust dependency; no evidence found of malicious intent or prompt injection in this file.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 22 Проанализировано строк

3 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 1 месте расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 1 месте расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 5 местах расположения доказательств

Пункты проверки возможностей (2)
Средний
SKILL.md:13
Ruby/shell backtick execution
2. 有有效的本机源景凭据时,沿用现有凭据。首次连接时,按官方细则从清单的 `bootstrap.connect_url` 获取认证脚本,先校验 `bootstrap.connect_sha256`,
This step explicitly runs a downloaded authentication script locally with Node.js. Its source is absent, and a manifest-supplied checksum does not establish that its behavior is safe.
Средний
SKILL.md:15
Ruby/shell backtick execution
4. 从已验证的正式技能目录执行官方 `scripts/yuanjing-agent-connect.cjs --wait-for-connection`,只读检查版本、认证和开放能力。分别确认连接、
This line instructs execution of an installed connection program with local account access. Its claimed read-only behavior cannot be verified because the executable is outside this audit.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
SKILL.md:12-14
Mutable Remote Instructions Control Installation
The agent follows live installation guidance and manifest-selected packages. Same-source SHA-256 checks do not independently authenticate releases against service compromise or malicious upstream changes.
These steps explicitly delegate current installation procedures and package selection to remote documents. No pinned release or independently trusted signature requirement appears in the file.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    Authentication and connection programs execute locally, but their implementations are not included in this skill.
    Provide reviewable source and pinned versions for both programs, disclose local access, and request explicit approval before execution.
  2. FIX-002
    Средний
    Mutable remote instructions and manifest-supplied checksums determine what is installed and executed.
    Pin reviewed releases, verify signatures using an independently trusted key, and require renewed approval when remote instructions change.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
0b57adb0ba185633ff7fc37749eaeb904d1dcd9b
Хеш содержимого
c2a9326c3f1e2f1bd0cb170e09c0083615fcac9db966ae9c13485c7f7a2d5091
Хеш дерева
52850c7c419bdc4d462f61d101054ec3121eccf3933714b11a939a7422b83f31
Путь Skill
skills/zhouguida123-svg/yuanjing-image-connect
Хеш данных аудита
6b32a2ce726b9074be74c51bfd13ab5d

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active