Laporan 01M7EH406V24MBK3CS9N7ECCDQ · checks-v2
codeql skill: pemeriksaan otomatis
Apa yang diperiksa HostedMCP pada 15 Nov 2026, 02.38 UTC. Setiap hasil tertaut ke sumber publik asalnya, sehingga Anda dapat memeriksanya sendiri.
7 dari 7 pemeriksaan dijalankan · 0 temuan tinggi · bukan audit keamanan
- Diperiksa
- 15 Nov 2026, 02.38 UTC
- Berkas yang dibaca
- SKILL.md dan skrip
- Metodologi
- checks-v2
Yang perlu diperbaiki agar skor lebih tinggi
3 pemeriksaan dapat menambah poin. Pemindaian berikutnya berjalan dalam satu minggu, atau tepat setelah repositori berubah.
- Lisensi open source (OSI) hingga +10 poin
Tambahkan file LICENSE dan cantumkan id SPDX-nya di front matter SKILL.md, misalnya
license: MIT. - Skrip tanpa unduh-lalu-jalankan atau pencurian kredensial hingga +20 poin
Sertakan source yang bisa dibaca, bukan file hasil kompilasi, dan hapus dari script yang disebut di atas hal yang membuatnya gagal: mengunduh dan menjalankan kode, menjalankan konten hasil decode atau konten remote, atau membaca kredensial lalu mengirimkannya keluar. Jika ada lebih dari lima script, yang tidak diperiksa tidak memperoleh nilai.
- Tool yang diizinkan otomatis dibatasi hingga +10 poin
Persempit
allowed-toolske perintah yang dibutuhkan skill, misalnyaBash(git status:*), bukanBashatauBash(curl:*). Agent tetap bertanya sebelum menjalankan hal lain.
Asal
15 / 25 poin- LolosSource repository terhubung dan dapat dijangkau10 poin
trailofbits/skills/plugins/static-analysis/skills/codeql publik dan dapat diakses
github.com/trailofbits/skills/tree/HEAD/plugins/static-analysis/skills ↗ - TemuanLisensi open source (OSI)10 poin
CC-BY-SA-4.0 bukan lisensi yang disetujui OSI
spdx.org/licenses/CC-BY-SA-4.0.html ↗Cara memperbaiki: Tambahkan file LICENSE dan cantumkan id SPDX-nya di front matter SKILL.md, misalnya
license: MIT. - LolosAda commit atau release dalam satu tahun terakhir5 poin
Commit terakhir 2026-11-11
github.com/trailofbits/skills/commits ↗
Skrip
10 / 30 poin- ParsialSkrip tanpa unduh-lalu-jalankan atau pencurian kredensial10 / 30 poin
5 dari 15 script sudah dibaca; tidak ada yang mengunduh dan menjalankan kode, sisanya belum dibaca
Cara memperbaiki: Sertakan source yang bisa dibaca, bukan file hasil kompilasi, dan hapus dari script yang disebut di atas hal yang membuatnya gagal: mengunduh dan menjalankan kode, menjalankan konten hasil decode atau konten remote, atau membaca kredensial lalu mengirimkannya keluar. Jika ada lebih dari lima script, yang tidak diperiksa tidak memperoleh nilai.
Instruksi untuk agent
20 / 30 poin- LolosTidak ada instruksi tersembunyi di SKILL.md20 poin
Tidak ada frasa override, pemutusan pengaman, permintaan kredensial, atau karakter tersembunyi
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗ - TemuanTool yang diizinkan otomatis dibatasi10 poin
Bash memungkinkan agent menjalankan perintah shell apa pun tanpa bertanya
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗Cara memperbaiki: Persempit
allowed-toolske perintah yang dibutuhkan skill, misalnyaBash(git status:*), bukanBashatauBash(curl:*). Agent tetap bertanya sebelum menjalankan hal lain.
Format
15 / 15 poin- LolosSKILL.md mengikuti format Agent Skills15 poin
Nama dan deskripsi valid; menjelaskan kapan harus dipakai; 296 baris
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗
Yang tidak dicakup pemeriksaan ini
- Skrip hanya dibaca, tidak pernah dijalankan. Logikanya tidak diaudit, dan maksimal lima skrip per skill yang dibaca.
- Hasil menggambarkan folder skill pada tanggal di atas; commit berikutnya bisa berbeda.
- Lulus bukan jaminan keamanan. Baca skripnya sebelum membiarkan agent menjalankannya, dan jaga allowed-tools tetap sempit.