Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-1AC96F20

10/27/2026, 9:11:00 AM

ai-listening оценка безопасности v2

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
ai-listening
Версия
v2
Сопровождающий
zhuyansen
Источник
github.com/zhuyansen/new-term-radar/tree/3cf6515c4076cb2800819473062d9b36d563d0fe/skills/ai-listening
Охват
1 Просканировано файлов · 56 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Сводка подтверждённой проблемы

Подтвержденные результаты проверки безопасности отсутствуют

Завершённый аудит не выявил подтверждённых проблем безопасности. Это не доказывает отсутствие побочных эффектов у Навыка.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

The skill instructs users to execute a pinned third-party package and optionally provide a service credential. The package implementation was not included in the reviewed file, so its behavior and credential handling remain unverified. Other flagged backticks, links, credential-path checks, and reconnaissance patterns are benign in context.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 56 Проанализировано строк

4 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 2 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 1 месте расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 2 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 14 местах расположения доказательств

Пункты проверки возможностей (4)
Высокий
SKILL.md:14
Generic API/secret keys
3. Check an AIsa key is available: `AISA_API_KEY`, or the AIsa CLI logged in (`ls ~/.aisa/key`). Wit
The workflow uses an API key or local login to run an external package. The package implementation was not reviewed, so credential handling cannot be verified.
Средний
SKILL.md:12
Ruby/shell backtick execution
1. Run the pinned release, never a clone of the repository: `uvx new-term-radar==0.6.0 <command> ...
The instructions execute a PyPI package through uvx or pip. Version pinning does not verify package integrity, and the package code was not reviewed.
Средний
SKILL.md:23-25
Ruby/shell backtick execution
```bash
The fenced block instructs execution of a downloaded PyPI package. Its implementation is outside the reviewed skill file.
Средний
SKILL.md:31-39
Ruby/shell backtick execution
If the user only wants the fastest-moving sources, `uvx new-term-radar==0.6.0 sources --out listenin
The optional sources command runs the same downloaded PyPI package, whose code is outside this review.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

В этом завершенном аудите не зафиксировано подтвержденных проблем безопасности.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    External package execution and credential exposure
    Review the pinned package and its dependencies, verify distribution integrity, and document credential handling before execution.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
1ac96f2048361bd348a3f97a5370c8f3f4c494c1
Хеш содержимого
20692e38ea8664bee3906de0ec48746ec6aed252f3074dedda5ae0bdf6933e15
Хеш дерева
8992e75a3a68577fd34bb8b77972f2e049490f574a959ed30d69e000c2f7167d
Путь Skill
skills/zhuyansen/ai-listening
Хеш данных аудита
6aa7779129b61ca49b2e98cc37a87e8a

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded