DB scan-skill
Глубокий анализ безопасности отдельного навыка перед установкой.
машинный переводПоказать оригиналСкрыть оригинал«Deep security analysis of an individual skill before installation…»
Deep security analysis of an individual skill before installation
Глубокий анализ безопасности отдельного навыка перед установкой.
Как процесс B 67/100 · Почти готов — слабые места: когда включается, входы и предусловия, отчётность по ходу
Чем это грозит
Скилл содержит фрагменты, которые в чужих руках стоят денег или данных. Ниже, что рискует потерять тот, кто установит, и что должен сделать автор.
Инструкции или скрипты отправляют данные наружу: переменные окружения, ключи, содержимое файлов, историю чата. Вы можете не заметить этого в диалоге, потому что агент выполнит отправку как «часть задачи».
Если отправка не нужна для задачи, уберите её: каталоги помечают такие скиллы как подозрительные и снимают с выдачи. Если нужна, назовите адрес явно, объясните, что именно уходит, и дайте пользователю выключатель.
Скилл содержит команды, которые удаляют файлы, переписывают диски или исполняют код, скачанный из сети. Агент может выполнить их без вопроса, если считает, что так требует инструкция.
Замените разрушительные команды на безопасные аналоги с подтверждением, ограничьте область действия конкретной папкой и не тяните код через curl | bash: укажите версию и контрольную сумму.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
В тексте есть фразы вроде «игнорируй предыдущие инструкции» или «теперь ты…». Это попытка перехватить управление агентом: он может нарушить ваши правила, системные ограничения или политику компании.
Такие фразы не нужны честному скиллу: сформулируйте роль и правила прямо, без отмены чужих инструкций. Иначе сканеры каталогов и корпоративные фильтры заблокируют публикацию.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл просит больше прав, чем нужно для задачи: широкий доступ к инструментам, секретные переменные окружения, бинарные файлы. Каждое лишнее право расширяет ущерб при ошибке или взломе.
Сузьте allowed-tools и список переменных до минимума, замените бинарники на исходники или скрипты, которые можно прочитать.
Как улучшить
- Разберите находки высокой серьёзности: каждая стоит 18 баллов безопасности. Если это ложное срабатывание, добавьте код правила в guard.allow в spec.yaml.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 14
-
высокая Утечка данных
exfil-post-credential-filescripts/patterns.py:545Загрузка файла с учётными данными на удалённый сервер (определение детектора / чёрного списка)pattern=r"curl\s+[^\n]*(-d|--data)\s+[^\n]*(cat|<)\s+[^\n]*(\.ssh|\.aws|\.gnupg|\.kube|\.env|credentials|id_rsa|private)",
детектор -
высокая Опасные команды
cmd-encoded-execscripts/patterns.py:885Выполнение закодированного (base64) кода (определение детектора / чёрного списка)description="base…ode() passed to exec/eval -- encoded payload execution (TeamPCP, W4SP)",
детектор
Средние и низкие: 12
-
средняя Утечка данных
intent-browser-credential-storescripts/patterns.py:532Доступ к хранилищу паролей / cookies браузера (определение детектора / чёрного списка)pattern=r"(Exodus|MetaMask|Electrum|wallet\.dat|Login Data|Cookies|Web Data|chrome.*User Data|\.mozilla/firefox)",
детектор -
средняя Утечка данных
exfil-read-secret-filesscripts/patterns.py:573Чтение файлов с учётными данными / секретами (определение детектора / чёрного списка)pattern=r"(cat|head|tail|less|more|type)\s+[^\n]*(\.ssh/id_rsa|\.aws/credentials|\.gnupg/|\.kube/config|/etc/shadow|/etc/passwd)",
детектор -
средняя Подмена инструкций
en-ignore-previousscripts/patterns.py:780Фраза-перехват ("ignore previous instructions") (определение детектора / чёрного списка)description="Instruction override attempt -- trying to bypass system prompt",
детектор -
средняя Широкие права
meta-broad-allowed-toolsSKILL.md:1Заранее разрешены широкие инструменты: Bashallowed-tools: Read Glob Grep Bash
-
низкая Опасные команды
cmd-pipe-to-shellscripts/patterns.py:70Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (определение детектора / чёрного списка; строковый литерал в коде, не выполняется)pattern=r"<!--[\s\S]*?(curl|wget|bash|sh|exec|eval|system|python|node|perl)[\s\S]*?-->",
детекторстрока в коде -
низкая Опасные команды
cmd-eval-dynamicscripts/patterns.py:767Динамическое выполнение кода из декодированного/недоверенного ввода (определение детектора / чёрного списка)description="exec(compile(...)) -- dynamic code compilation and execution",
детектор -
низкая Опасные команды
cmd-pipe-to-shellscripts/patterns.py:861Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (определение детектора / чёрного списка; строковый литерал в коде, не выполняется)pattern=r"[\"'](preinstall|postinstall)[\"']\s*:\s*[\"'][^\"']*(node\s+-e|curl|wget|bash|sh\s+-c|exec|eval)",
детекторстрока в коде -
низкая Опасные команды
cmd-eval-dynamicscripts/patterns.py:923Динамическое выполнение кода из декодированного/недоверенного ввода (определение детектора / чёрного списка)description="eval(Buffer.from(..., 'base64')) -- base64 payload execution in Node.js",
детектор -
низкая Опасные команды
cmd-eval-dynamicscripts/patterns.py:930Динамическое выполнение кода из декодированного/недоверенного ввода (определение детектора / чёрного списка)description="eval(atob(...)) -- base64 decode and execute in JavaScript",
детектор -
низкая Опасные команды
cmd-privilegescripts/patterns.py:1017Повышение привилегий / права на запись для всех (определение детектора / чёрного списка; строковый литерал в коде, не выполняется)description="chmod 777 -- world-readable/writable/executable, overly permissive",
детекторстрока в коде -
низкая Опасные команды
cmd-persistencescripts/patterns.py:1214Механизм закрепления (cron / launchd / планировщик / автозапуск в реестре) (определение детектора / чёрного списка; строковый литерал в коде, не выполняется)pattern=r"launchctl\s+(load|bootstrap)|Library/LaunchAgents/[^\s]*\.plist",
детекторстрока в коде
Ещё 1 совпадений отнесены к цитатам в документации скилла по безопасности и не считаются находками.
Просканировано файлов: 4. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
✓ По спецификации Agent Skills замечаний нет
Процессный рейтинг: все десять параметров 67/100
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 55Ошибки и развилки. Развилок: 1
- 60Результат и критерий готовности. Формат результата описан, критерия завершения нет
- 100Инструменты и файлы. Инструменты объявлены во frontmatter
- 100Шаги. Шагов: 14
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 485 токенов
- 100Повторный запуск. Изменяющих операций нет
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Длина description 65: рекомендуется 120–800 символов
- -31 из 2 скриптов не упомянуты в SKILL.md
- +1Лицензия не указана
- +2Инструкции на одном языке
- +4Структура: 6 заголовков
- +3Пошаговые инструкции: 14 пунктов
- +3Формат ответа описан явно
- +4Есть примеры (1 блоков кода)
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 81.