此报告尚无所请求语言的翻译，当前显示规范英文报告。

版本化安全评估

报告编号: SA-5526951B

9/12/2026, 11:20:04 AM

gpt-series-reasoning-style 安全评估 v2

Skill 安全认证报告

审计历史

扫描器版本 3.0.0 审计模型: codex 历史报告

技能名称: gpt-series-reasoning-style
版本: v1.2.0
维护者: jadeyingwah
来源: github.com/jadeyingwah/gpt-series-reasoning-style/tree/a8ee3c963ce3bd97d9e2076d54cd0f3334d45d39/
覆盖范围: 97 已扫描文件 · 13,494 分析行数
策略版本: skillstore-security-audit-policy-v1

已确认问题摘要

未发现已确认的安全问题

已完成的审计没有记录已确认的安全问题，但这不证明该 Skill 没有副作用。

安装上下文

历史证据

本报告可能无法描述当前可安装的 artifact。请打开当前 Skill 详情页查看安装建议。

打开当前 Skill 详情页

本报告不会阻止或授权 manifest 或 ZIP。

Most static alerts are false positives caused by defensive examples, readable Chinese prose, Markdown syntax, SVG paths, and documented installation locations. One high-risk behavior is confirmed: claim-check executes claims-file commands through shell=True, so hostile or insufficiently reviewed input can run arbitrary code. Static review was capped at 400/554 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

报告位置

历史报告

使用本报告安装前，请先查看审计历史。

审计证明

证明已被替代

已有更新的证明。

人工验证

未进行人工验证

本报告没有人工验证记录。

覆盖范围

97 已扫描文件 · 13,494 分析行数

有 1 项内容需要查看

局限

本报告不声称进行了运行时或沙箱执行，也不证明不存在副作用。

证据链

证据从来源绑定延伸到安装契约。证据可用于验证，但不是安全保证。

来源

已绑定 commit 与路径
构件

已绑定内容与 tree hash
审计

已完成
安装契约

打开 manifest 进行验证
打开 manifest

观察到的能力

“已观察到”表示本报告记录了支持证据；“未记录”不证明该能力不存在。

包含脚本

可能执行 Skill 随附的代码。

本次审计未记录

网络访问

可能连接外部服务。

在 13 个证据位置观察到

文件系统访问

可能读取或写入本地文件。

在 46 个证据位置观察到

环境变量

可能读取进程环境中的值。

本次审计未记录

外部命令

可能调用 Skill 之外的命令或程序。

在 48 个证据位置观察到

能力复核项 (1)

高

scripts/claim-check.py:372

Python subprocess.run

proc = subprocess.run(cmd, shell=True, cwd=str(root),

This call passes commands parsed from a claims file to subprocess.run with shell=True. The file and SECURITY.md explicitly acknowledge that hostile input can execute arbitrary code.

风险问题

已确认的安全问题与仍需审核的项目分开展示。

此次已完成的审计未记录已确认的安全发现。

补救措施

本次审计记录了建议的修复措施。实施这些措施是维护者的责任。

FIX-001
高
The claim checker executes command strings from a claims file through the user's shell.

Replace free-form shell commands with structured executable and argument fields plus a strict allowlist. Until then, require an isolated environment without secrets or network access.
FIX-002
中
Static review capped

Manually review the omitted 154 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.

专家证据

不可变主体身份、扫描器元数据、已排除匹配项和源码级证据。

Artifact 主体

Marketplace 提交: 5526951beaeca22519572a471618555839b53b05
内容哈希: 30c33cbdb21f82cb826e4565423c84d747eb54b6210165ce159a6ffa3f3b908f
目录树哈希: 17bfc133d5acc2a15b45dd61d802356415fe6fc751b7ca9972bee164743123a3
Skill 路径: skills/jadeyingwah/gpt-series-reasoning-style
审计载荷哈希: 0ba098cdf47ac2aea39fed3f97fbc715

分析元数据

审计模型: codex

分析状态: 已完成

范围仅限于已记录的文件、行数、方法和证据；本报告不声称进行了运行时或沙箱执行。

验证与导出

JSON 报告已签名审计证明 CITATION.cff SARIF 2.1.0 已签名安装清单来源

manifest 和 lockfile 将安装 artifact 绑定到加密哈希。该完整性声明独立于安全评估。

审计证明: superseded