レポート 01M7EH406V24MBK3CS9N7ECCDQ · checks-v2
codeql スキル: 自動チェック
2026年11月15日 02:38 UTC に HostedMCP がチェックした内容です。各結果は公開ソースへのリンク付きで、ご自身で確認できます。
7 件中 7 件のチェックを実行 · 0 件の重大な指摘 · セキュリティ監査ではありません
- チェック日
- 2026年11月15日 02:38 UTC
- 読み取ったファイル
- SKILL.md とスクリプト
- 方法論
- checks-v2
スコアを上げるための修正点
3件のチェックでさらにポイントを獲得できます。 次回のスキャンは1週間以内、またはリポジトリの変更直後に実行されます。
- オープンソースライセンス (OSI) 最大 +10 点
LICENSEファイルを追加し、SKILL.mdのfront matterでSPDX idとして指定してください（例:
license: MIT）。 - スクリプトにダウンロード実行や認証情報の窃取がない 最大 +20 点
コンパイル済みファイルではなく読めるソースを同梱し、上記のスクリプトから失敗の原因を取り除いてください: コードのダウンロードと実行、デコード済みまたはリモートのコンテンツの実行、認証情報の読み取りと送信などです。スクリプトが5つを超える場合、読まれていないものは評価されません。
- 事前許可ツールが限定されている 最大 +10 点
allowed-toolsをスキルが必要とするコマンドに絞ってください（例:Bash(git status:*)）。BashやBash(curl:*)は不可です。エージェントはそれ以外の操作の前に確認を求めます。
起源
15 / 25 ポイント- 合格ソースリポジトリがリンクされており、アクセス可能10 ポイント
trailofbits/skills/plugins/static-analysis/skills/codeqlは公開されており到達可能です
github.com/trailofbits/skills/tree/HEAD/plugins/static-analysis/skills ↗ - 検出事項オープンソースライセンス (OSI)10 ポイント
CC-BY-SA-4.0はOSI承認ではありません
spdx.org/licenses/CC-BY-SA-4.0.html ↗修正方法: LICENSEファイルを追加し、SKILL.mdのfront matterでSPDX idとして指定してください（例:
license: MIT）。 - 合格
スクリプト
10 / 30 ポイント- 一部スクリプトにダウンロード実行や認証情報の窃取がない10 / 30 ポイント
5/15 スクリプトを読み取りました。いずれもコードをダウンロードして実行しておらず、残りは読み取っていません
修正方法: コンパイル済みファイルではなく読めるソースを同梱し、上記のスクリプトから失敗の原因を取り除いてください: コードのダウンロードと実行、デコード済みまたはリモートのコンテンツの実行、認証情報の読み取りと送信などです。スクリプトが5つを超える場合、読まれていないものは評価されません。
エージェントへの指示
20 / 30 ポイント- 合格SKILL.md に隠れた指示がない20 ポイント
上書きフレーズ、セーフガードの無効化、認証情報の要求、隠し文字はありません
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗ - 検出事項事前許可ツールが限定されている10 ポイント
Bash により、エージェントは確認なしで任意のシェルコマンドを実行できます
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗修正方法:
allowed-toolsをスキルが必要とするコマンドに絞ってください（例:Bash(git status:*)）。BashやBash(curl:*)は不可です。エージェントはそれ以外の操作の前に確認を求めます。
フォーマット
15 / 15 ポイント- 合格SKILL.md が Agent Skills の形式に従っている15 ポイント
有効な名前と説明。使用時期を明記。296 行
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗
これらのチェックの対象外
- スクリプトは読み取られるのみで、実行されません。ロジックの監査は行われず、スキルあたり最大5つのスクリプトが読み取られます。
- 結果は上記の日付時点のスキルフォルダーを表します。以降のコミットでは異なる場合があります。
- 合格は安全性を保証するものではありません。エージェントに実行させる前にスクリプトを読み、allowed-tools は狭く保ってください。