此報告尚無所請求語言的翻譯，目前顯示規範英文報告。

版本化安全評估

報告編號: SA-1AC96F20

10/27/2026, 9:14:06 AM

seo-new-keywords-research 安全評估 v2

Skill 安全認證報告

審計紀錄

掃描器版本 3.0.0 稽核模型: codex 最新發佈的報告

技能名稱: seo-new-keywords-research
版本: v2
維護者: zhuyansen
來源: github.com/zhuyansen/new-term-radar/tree/e1ce49e83dfefeb985b1db24d173cb785ca75dbc/skills/seo-new-keywords-research
涵蓋範圍: 1 已掃描檔案 · 69 分析行數
策略版本: skillstore-security-audit-policy-v1

已確認問題摘要

未發現已確認的安全問題

已完成的稽核沒有記錄已確認的安全問題，但這不證明該 Skill 沒有副作用。

安裝情境

請查看目前的 Skill 詳情頁

本頁僅彙整報告證據。Skill 詳情頁提供權威安裝建議。

開啟目前的 Skill 詳情頁

本報告不會阻止或授權 manifest 或 ZIP。

Most detections are Markdown formatting, documentation links, or keyword terminology rather than malicious commands. The workflow executes an external package with paid API credentials, but its implementation was not included in the review.

報告位置

證據鏈

證據從來源綁定延伸至安裝契約。證據可用於驗證，但並非安全保證。

來源

已綁定 commit 與路徑
構件

已綁定內容與 tree hash
稽核

已完成
安裝契約

開啟 manifest 進行驗證
開啟 manifest

觀察到的能力

「已觀察到」表示本報告記錄了支持證據；「未記錄」不證明該能力不存在。

包含腳本

可能執行 Skill 隨附的程式碼。

此次稽核未記錄

網路存取

可能連線至外部服務。

在 3 個證據位置觀察到

檔案系統存取

可能讀取或寫入本機檔案。

在 1 個證據位置觀察到

環境變數

可能讀取處理程序環境中的值。

在 3 個證據位置觀察到

外部命令

可能叫用 Skill 以外的命令或程式。

在 21 個證據位置觀察到

能力複核項目 (7)

高

SKILL.md:16

Hidden file in home directory

3. An AIsa key must be available, as `AISA_API_KEY` or from the AIsa CLI (`aisa login` stores it in

The instructions allow the external CLI to use a credential stored in ~/.aisa; the reviewed file does not establish how the package handles it.

高

SKILL.md:16

Generic API/secret keys

3. An AIsa key must be available, as `AISA_API_KEY` or from the AIsa CLI (`aisa login` stores it in

The third-party CLI is configured with an API credential; its handling and network destinations cannot be verified from this file.

高

SKILL.md:17

Generic API/secret keys

4. `GOANYAPI_API_KEY` is optional (a key comes from https://goanyapi.com/r/ga-95708898fb). With it t

The third-party CLI is configured with an API credential; its handling and network destinations cannot be verified from this file.

中

SKILL.md:14

Ruby/shell backtick execution

1. Run the pinned release, never a clone of the repository: `uvx new-term-radar==0.6.0 <command> ...

The instructions execute a pinned third-party PyPI package; its implementation was not included in the reviewed files.

中

SKILL.md:33-35

Ruby/shell backtick execution

```bash

The instructions execute a pinned third-party PyPI package; its implementation was not included in the reviewed files.

中

SKILL.md:35-37

Ruby/shell backtick execution

```

The instructions execute a pinned third-party PyPI package; its implementation was not included in the reviewed files.

中

SKILL.md:16

Hidden file access

3. An AIsa key must be available, as `AISA_API_KEY` or from the AIsa CLI (`aisa login` stores it in

The instructions allow the external CLI to use a credential stored in ~/.aisa; the reviewed file does not establish how the package handles it.

風險問題

已確認的安全問題與仍需審核的項目分開顯示。

此次已完成的稽核未記錄已確認的安全發現。

補救措施

本次稽核記錄了建議的修復措施。實施這些措施是維護者的責任。

FIX-001
中
The external package and its credential handling were not included in the reviewed skill files.

Review the pinned package and dependencies, document network destinations, and use restricted credentials.

專家證據

不可變主體身分、掃描器中繼資料、已排除的相符項目和原始碼層級證據。

Artifact 主體

Marketplace 提交: 1ac96f2048361bd348a3f97a5370c8f3f4c494c1
內容雜湊: def58a5047cfc58859a07faa7fcedff26daac74cc0dfbe75c340df6c79c457c8
目錄樹雜湊: 31db6b01a12f3461f205db463cd05b9bf3235d636c093b97768f8905e1e3dbaf
Skill 路徑: skills/zhuyansen/seo-new-keywords-research
稽核承載資料雜湊: 3772334ce19e0ab6dc436a25b0f5f18c

分析中繼資料

稽核模型: codex

分析狀態: 已完成

範圍僅限於已記錄的檔案、行數、方法和證據；本報告不聲稱進行了執行階段或沙箱執行。

驗證與匯出

JSON 報告已簽署稽核證明 CITATION.cff SARIF 2.1.0 已簽署安裝清單來源

manifest 和 lockfile 將安裝 artifact 綁定到加密雜湊。該完整性聲明獨立於安全評估。

稽核證明: active