此報告尚無所請求語言的翻譯，目前顯示規範英文報告。

版本化安全評估

報告編號: SA-07BD35E8

10/27/2026, 11:31:16 AM

instrument-app 安全評估 v1

Skill 安全認證報告

審計紀錄
掃描器版本 3.0.0 稽核模型: codex 最新發佈的報告
技能名稱
instrument-app
版本
v1
維護者
logbrewco
來源
github.com/logbrewco/skills/tree/abac3ee500d980ca7fa4edb6c75949094d3ea792/plugins/logbrew/skills/instrument-app
涵蓋範圍
3 已掃描檔案 · 520 分析行數
策略版本
skillstore-security-audit-policy-v1

已確認問題的最高嚴重性

中

有 2 個已確認的安全問題需要處理。

安裝情境

請查看目前的 Skill 詳情頁

本頁僅彙整報告證據。Skill 詳情頁提供權威安裝建議。

開啟目前的 Skill 詳情頁

本報告不會阻止或授權 manifest 或 ZIP。

Most static matches are Markdown, SDK configuration, or safe secret-handling guidance. The Rails key export can expose a secret in shell history, and the workflow should validate install commands and review existing logs before forwarding them.

報告位置

最新發佈的報告

「最新」僅指報告序列，不代表成品目前有效。

稽核證明

有效證明

此精確報告有可公開驗證的證明。

人工驗證

未進行人工驗證

本報告沒有人工作驗證記錄。

涵蓋範圍

3 已掃描檔案 · 520 分析行數

有 3 項內容需要查看

限制

本報告不聲稱已進行執行階段或沙箱執行，也不證明不存在副作用。

證據鏈

證據從來源綁定延伸至安裝契約。證據可用於驗證，但並非安全保證。

  1. 來源

    已綁定 commit 與路徑

  2. 構件

    已綁定內容與 tree hash

  3. 稽核

    已完成

  4. 安裝契約

    開啟 manifest 進行驗證

    開啟 manifest

觀察到的能力

「已觀察到」表示本報告記錄了支持證據；「未記錄」不證明該能力不存在。

包含腳本

可能執行 Skill 隨附的程式碼。

在 1 個證據位置觀察到

網路存取

可能連線至外部服務。

此次稽核未記錄

檔案系統存取

可能讀取或寫入本機檔案。

在 3 個證據位置觀察到

環境變數

可能讀取處理程序環境中的值。

在 11 個證據位置觀察到

外部命令

可能叫用 Skill 以外的命令或程式。

在 31 個證據位置觀察到

能力複核項目 (1)
高
references/frameworks.md:282
Generic API/secret keys
export LOGBREW_SERVER_API_KEY="your project-scoped server ingest key"
The shell export example invites entry of an actual ingest key in a command, which can persist in shell history.

風險問題

已確認的安全問題與仍需審核的項目分開顯示。

已確認的安全問題 (2)

RISK-001 中
SKILL.md:42-45SKILL.md:73-75
Unreviewed generated install command
The instructions execute the CLI-provided install command without requiring validation of its executable, arguments, or package source. A compromised CLI or manipulated output could cause unintended command execution.
The instructions explicitly use and run the generated command, but exploitation depends on compromised or manipulated CLI output.
RISK-002 中
SKILL.md:85-86SKILL.md:23-24
Existing logs may expose sensitive data
Connecting the existing logger can send current logs to an external service without first checking their contents. Existing records may contain sensitive data despite the rules for newly added logs.
The skill forwards current logs while applying logging rules to added events; exposure depends on the existing application logs and SDK privacy settings.

補救措施

本次稽核記錄了建議的修復措施。實施這些措施是維護者的責任。

  1. FIX-001
    高
    The Rails example places a key in a shell command.
    Load the ingest key through a secret manager or protected environment configuration without typing it into shell history.
  2. FIX-002
    中
    The generated install command is executed without explicit validation.
    Validate the package manager, arguments, and package source, and request approval before running the command.
  3. FIX-003
    中
    Existing logs can be forwarded without a privacy review.
    Review existing log fields and SDK capture defaults, redact sensitive data, and obtain approval before enabling forwarding.

專家證據

不可變主體身分、掃描器中繼資料、已排除的相符項目和原始碼層級證據。

Artifact 主體

Marketplace 提交
07bd35e828bc5e79e3fd7ad19a1298e33cdbb753
內容雜湊
e2c98b7a9b3718d43ff48cf62b8af49980f80914d2a86771f95cfc7356000931
目錄樹雜湊
eda4e75150c16c46a68f99b01fd5130a298611566e156a71e7abe550b76ee282
Skill 路徑
skills/logbrewco/instrument-app
稽核承載資料雜湊
351c262dc592057a030a37e92fc7ecb9

分析中繼資料

稽核模型: codex

分析狀態: 已完成

範圍僅限於已記錄的檔案、行數、方法和證據；本報告不聲稱進行了執行階段或沙箱執行。

驗證與匯出

JSON 報告 已簽署稽核證明 CITATION.cff SARIF 2.1.0 已簽署安裝清單 來源

manifest 和 lockfile 將安裝 artifact 綁定到加密雜湊。該完整性聲明獨立於安全評估。

稽核證明: active