Rapport 01M7EH406V24MBK3CS9N7ECCDQ · checks-v2
Skill codeql : vérifications automatisées
Ce que HostedMCP a vérifié le 15 nov. 2026, 02:38 UTC. Chaque résultat renvoie à la source publique dont il provient, pour que vous puissiez le vérifier vous-même.
7 vérifications sur 7 exécutées · 0 constat élevé · pas un audit de sécurité
- Vérifié le
- 15 nov. 2026, 02:38 UTC
- Fichiers lus
- SKILL.md et scripts
- Méthodologie
- checks-v2
Ce qu'il faut corriger pour un meilleur score
3 vérifications peuvent rapporter plus de points. Le prochain scan s'exécute sous une semaine, ou juste après une modification du dépôt.
- Licence open source (OSI) jusqu'à +10 pts
Ajoutez un fichier LICENSE et nommez-le par son identifiant SPDX dans le front matter de SKILL.md, par exemple
license: MIT. - Aucun téléchargement-exécution ni vol d'identifiants dans les scripts jusqu'à +20 pts
Livrez le code source lisible, et non des fichiers compilés, et retirez du script mentionné ci-dessus ce qui l'a fait échouer : le téléchargement et l'exécution de code, l'exécution de contenu décodé ou distant, ou la lecture d'identifiants et leur envoi vers l'extérieur. Lorsque plus de cinq scripts existent, ceux qui n'ont pas été lus ne rapportent rien.
- Les outils préautorisés sont limités jusqu'à +10 pts
Restreignez
allowed-toolsaux commandes dont la skill a besoin, par exempleBash(git status:*), et nonBashouBash(curl:*). L'agent demande toujours confirmation avant toute autre action.
Origine
15 / 25 points- RéussiDépôt source lié et accessible10 pts
trailofbits/skills/plugins/static-analysis/skills/codeql est public et accessible
github.com/trailofbits/skills/tree/HEAD/plugins/static-analysis/skills ↗ - FailleLicence open source (OSI)10 pts
CC-BY-SA-4.0 n'est pas approuvée par l'OSI
spdx.org/licenses/CC-BY-SA-4.0.html ↗Comment corriger: Ajoutez un fichier LICENSE et nommez-le par son identifiant SPDX dans le front matter de SKILL.md, par exemple
license: MIT. - RéussiCommit ou version publiée au cours de l'année écoulée5 pts
Dernier commit 2026-11-11
github.com/trailofbits/skills/commits ↗
Scripts
10 / 30 points- PartielAucun téléchargement-exécution ni vol d'identifiants dans les scripts10 / 30 pts
5 scripts sur 15 lus ; aucun ne télécharge ni n'exécute de code, les autres n'ont pas été lus
Comment corriger: Livrez le code source lisible, et non des fichiers compilés, et retirez du script mentionné ci-dessus ce qui l'a fait échouer : le téléchargement et l'exécution de code, l'exécution de contenu décodé ou distant, ou la lecture d'identifiants et leur envoi vers l'extérieur. Lorsque plus de cinq scripts existent, ceux qui n'ont pas été lus ne rapportent rien.
Instructions à l'agent
20 / 30 points- RéussiAucune instruction cachée dans SKILL.md20 pts
Aucune phrase de contournement, désactivation de protection, demande d'identifiants ou caractère caché
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗ - FailleLes outils préautorisés sont limités10 pts
Bash permet à l'agent d'exécuter n'importe quelle commande shell sans demander
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗Comment corriger: Restreignez
allowed-toolsaux commandes dont la skill a besoin, par exempleBash(git status:*), et nonBashouBash(curl:*). L'agent demande toujours confirmation avant toute autre action.
Format
15 / 15 points- RéussiSKILL.md respecte le format Agent Skills15 pts
Nom et description valides ; indique quand l'utiliser ; 296 lignes
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗
Ce que ces vérifications ne couvrent pas
- Les scripts sont lus, jamais exécutés. Leur logique n'est pas auditée, et jusqu'à cinq scripts par skill sont lus.
- Les résultats décrivent le dossier du skill à la date ci-dessus ; un commit ultérieur peut différer.
- Une réussite n'est pas une garantie de sécurité. Lisez les scripts avant de laisser un agent les exécuter, et gardez allowed-tools restreint.