DF star-search
Используйте, когда вас просят искать в интернете, находить информацию онлайн, исследовать темы, получать новости, искать контент на китайском языке или проверять финансовые/технологические новости. **v20.42 - LangChain + Dify + 5 минут на установку и запуск**: добавлен адаптер LangChain Tool (`integrations/langchain/star_search_tool.py`) + плагин Dify (`integrations/dify/manifest.yaml`), скрипт установки в один клик `install.sh`, шаблон `.env.example`, быстрая настройка за 5 минут. **v20.41 Базовый**: Охват английского языка + открытые научные источники (чисто английские запросы автоматически перенаправляются на бэкэнд Bing HTTP; слияние OpenAlex + CrossRef). Более 16 движков, понимание намерений, наблюдаемые метрики для каждого вызова. Публичный сервис предоставляет стандартный MCP (4 инструмента) плюс JSON-RPC и SSE. Основные моменты серии v20: потоковая передача SSE менее чем за секунду, диалог с несколькими поворотами, 4 формата вывода, мониторинг Prometheus, семантический поиск, уровень оркестрации AI (классификация намерений, карточка сущности, перекрестная проверка источников), обход защиты от ботов и 4-этапный сквозной конвейер, который по умолчанию выдает ответ LLM + автоматически полученные фрагменты. Более 16 движков, понимание намерений и наблюдаемые метрики для каждого вызова.
машинный переводПоказать оригиналСкрыть оригинал«Use when asked to search the web, find online information, research to…»
Use when asked to search the web, find online information, research topics, get news, look up Chinese content, or check finance / tech news. **v20.42 - LangChain + Dify + 5 分钟安装体验**: 新增 LangChain Tool 适配器 (`integrations/langchain/star_search_tool.py`) + Dify plugin (`integrations/dify/manifest.yaml`), 一键安装脚本 `install.sh`, `.env.example` 模板, 5 分钟快速开始. **v20.41 基础**: English coverage + open scholarly sources (pure-English queries auto-route to Bing HTTP backend; OpenAlex + CrossRef merge). 16 plus engines, intent understanding, observable per-call metrics. The public service exposes standard MCP (4 tools) plus JSON-RPC and SSE. v20 series highlights: sub-second SSE streaming, multi-turn dialog, 4 output formats, Prometheus monitoring, semantic search, AI orchestration layer (intent classification, entity card, cross-source verification), bot-protection workarounds, and a 4-stage end-to-end pipeline that defaults to LLM answer + auto-fetched snippets. 16 plus engines, intent understanding, and observable per-call metrics.
Используйте, когда вас просят искать в интернете, находить информацию онлайн, исследовать темы, получать новости, искать контент на китайском языке или…
Как процесс F 35/100 · Не запустится — Скилл ссылается на файлы, которых нет в архиве: references/cloudflare-bot-protection.md, scripts/test_intent_108.py, references/v20-40-intent-strat-rule-pitfalls.md
Чем это грозит
Находки средней серьёзности: скорее всего скилл честный, но прочитайте, что именно насторожило сканер.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл содержит команды, которые удаляют файлы, переписывают диски или исполняют код, скачанный из сети. Агент может выполнить их без вопроса, если считает, что так требует инструкция.
Замените разрушительные команды на безопасные аналоги с подтверждением, ограничьте область действия конкретной папкой и не тяните код через curl | bash: укажите версию и контрольную сумму.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Инструкции или скрипты отправляют данные наружу: переменные окружения, ключи, содержимое файлов, историю чата. Вы можете не заметить этого в диалоге, потому что агент выполнит отправку как «часть задачи».
Если отправка не нужна для задачи, уберите её: каталоги помечают такие скиллы как подозрительные и снимают с выдачи. Если нужна, назовите адрес явно, объясните, что именно уходит, и дайте пользователю выключатель.
Как улучшить
- Сократите description до 1024 символов.
- Для Hermes description должен быть одним предложением до 60 символов; условия применения вынесите в раздел «When to Use».
- Тело SKILL.md длиннее 5 000 токенов: вынесите справочные детали в references/ и подключайте по необходимости.
- В тексте есть ссылки на отсутствующие файлы: добавьте файлы или уберите ссылки.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 16
✓ Критических и высоких находок нет
Средние и низкие: 16
-
средняя Опасные команды
cmd-privilegeinstall.sh:70Повышение привилегий / права на запись для всехsudo cp deploy/star-search.service /etc/systemd/system/
-
средняя Утечка данных
net-redirectable-api-keyscripts/answer.py:60Скрипт отправляет API-ключ на хост из переменной окружения — ключ можно перенаправить на другой серверAPI key + configurable base URL from environment
-
средняя Утечка данных
net-redirectable-api-keyscripts/deep_research.py:16Скрипт отправляет API-ключ на хост из переменной окружения — ключ можно перенаправить на другой серверAPI key + configurable base URL from environment
-
средняя Утечка данных
net-redirectable-api-keyscripts/discover.py:143Скрипт отправляет API-ключ на хост из переменной окружения — ключ можно перенаправить на другой серверAPI key + configurable base URL from environment
-
средняя Утечка данных
net-redirectable-api-keyscripts/entity_card.py:23Скрипт отправляет API-ключ на хост из переменной окружения — ключ можно перенаправить на другой серверAPI key + configurable base URL from environment
-
средняя Утечка данных
net-redirectable-api-keyscripts/query_rewrite.py:17Скрипт отправляет API-ключ на хост из переменной окружения — ключ можно перенаправить на другой серверAPI key + configurable base URL from environment
-
средняя Утечка данных
net-redirectable-api-keyscripts/super_brain.py:21Скрипт отправляет API-ключ на хост из переменной окружения — ключ можно перенаправить на другой серверAPI key + configurable base URL from environment
-
средняя Опасные команды
cmd-privilegeSKILL.md:347Повышение привилегий / права на запись для всех# 推荐: 把 server 文件属主改成 ubuntu 用户 (sudo chown -R ubuntu:ubuntu <install-dir>),
-
низкая Утечка данных
read-dotenvinstall.sh:35Чтение файла .envcp .env.example .env
-
низкая Опасные команды
cmd-background-processinstall.sh:72Запуск фонового / автозапускаемого процессаsudo systemctl enable star-search
-
низкая Опасные команды
cmd-privilegescripts/search.py:103Повышение привилегий / права на запись для всех (строковый литерал в коде, не выполняется)'--no-sandbox', '--disable-setuid-sandbox',
строка в коде -
низкая Секреты в коде
secret-labelled-tokenscripts/verify.py:6Токен / ключ рядом с меткой (формат неизвестен — проверьте, что это не живой секрет) (в кавычках — упоминание, а не команда)- 测试 secret_key: 1x00…0AA (始终通过)
в кавычках -
низкая Секреты в коде
secret-high-entropy-tokenscripts/verify.py:6Строка, похожая на токен (может быть id, хеш или секрет) (в кавычках — упоминание, а не команда)- 测试 secret_key: 1x00…0AA (始终通过)
в кавычках -
низкая Секреты в коде
secret-password-literalscripts/verify.py:6Захардкоженный пароль / ключ (возможно, пример) (в кавычках — упоминание, а не команда)- 测试 secret_key: 1x00…0AA (始终通过)
в кавычках -
низкая Секреты в коде
secret-high-entropy-tokenscripts/verify.py:19Строка, похожая на токен (может быть id, хеш или секрет) (в кавычках — упоминание, а не команда)TURNSTILE_SECRET_KEY = os.environ.get('TURNSTILE_SECRET_KEY', '1x00…0AA')в кавычках -
низкая Опасные команды
cmd-privilegeSKILL_EN.md:413Повышение привилегий / права на запись для всех (в кавычках — упоминание, а не команда)- **docker container mount data dir**: `user:"0"` + `chmod 777` solve mmap permissions
в кавычках
Просканировано файлов: 50. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- ошибка
description-longdescription 1034 символов, лимит 1024 - предупреждение
description-long-hermesdescription 1034 символов, а стандарт Hermes требует ≤ 60 (одно предложение, с точкой) - предупреждение
body-longтело SKILL.md ≈ 5975 токенов (рекомендуется < 5000); вынесите детали в references/ - предупреждение
missing-refссылка на отсутствующий файл: references/cloudflare-bot-protection.md - предупреждение
missing-refссылка на отсутствующий файл: scripts/test_intent_108.py - предупреждение
missing-refссылка на отсутствующий файл: references/v20-40-intent-strat-rule-pitfalls.md
Процессный рейтинг: все десять параметров 35/100
- 0Инструменты и файлы. Не хватает 3 файла(ов): references/cloudflare-bot-protection.md, scripts/test_intent_108.py, references/v20-40-intent-strat-rule-pitfalls.md
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 50Ошибки и развилки. Развилок: 0, есть раздел про ошибки
- 60Согласованность. Диалект Hermes требует category и tags
- 70Стоимость исполнения. Тело инструкции 5975 токенов
- 100Шаги. Шагов: 117
- 100Отчётность по ходу. Скилл сообщает о ходе работы
- low Разделов верхнего уровня: 13. Похоже на несколько доменов в одном скилле
- low Ответ описан самодельной разметкой (13 тегов): типизированный вызов надёжнее
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Длина description 1034: рекомендуется 120–800 символов
- +3Формат ответа не описан: модель каждый раз решает сама
- -47 справочных файлов, но SKILL.md на них не ссылается: модель их не откроет
- -317 из 27 скриптов не упомянуты в SKILL.md
- +2Инструкции на одном языке
- +4Структура: 52 заголовков
- +3Пошаговые инструкции: 117 пунктов
- +4Есть примеры (8 блоков кода)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 22.