Отчёт 01M7DFNVXD4R0237DCB702A3T0 · checks-v2
MCP server Cozo Memory: автоматические проверки
Что HostedMCP проверил 14 нояб. 2026 г., 16:54 UTC. Каждый результат ссылается на публичный источник, из которого он получен, чтобы вы могли проверить его сами.
8 из 11 проверок выполнено · 1 серьёзная находка · это не аудит безопасности
- Проверено
- 14 нояб. 2026 г., 16:54 UTC
- Коммит
- —
- Пакет
- cozo-memory · 1.0.3
- Методология
- checks-v2
Что исправить для более высокого балла
3 проверки могут принести больше баллов. Следующее сканирование пройдёт в течение недели или сразу после изменения репозитория.
- Происхождение сборки (аттестация Sigstore) до +10 баллов
Публикуйте с подтверждением сборки:
npm publish --provenanceиз GitHub Actions сid-token: writeили через PyPI Trusted Publishing, который добавляет аттестации. - OpenSSF Scorecard до +15 баллов
Добавьте действие OpenSSF Scorecard (
ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов. - Нет критических предупреждений в пакете или его зависимостях до +15 баллов
Обновите указанную выше зависимость до релиза без критической уязвимости (
npm audit fixилиpip install -Uи новый файл блокировки), затем опубликуйте новую версию.
Происхождение
20 / 20 баллов- ПройденоСвязанный и доступный исходный репозиторий10 баллов
tobs-code/cozo-memory публичен и доступен
github.com/tobs-code/cozo-memory ↗ - ПройденоПакет указывает этот репозиторий как источник5 баллов
cozo-memory указывают tobs-code/cozo-memory как источник
npmjs.com/package/cozo-memory ↗ - Не проверялосьПроисхождение сборки (аттестация Sigstore)10 баллов
Для этого релиза не опубликовано подтверждение сборки
Как исправить: Публикуйте с подтверждением сборки:
npm publish --provenanceиз GitHub Actions сid-token: writeили через PyPI Trusted Publishing, который добавляет аттестации. - Пройдено
Практики
5 / 5 баллов- ПройденоКоммит или релиз за последний год5 баллов
Последний коммит или релиз 2026-06-08
github.com/tobs-code/cozo-memory ↗ - Не проверялосьOpenSSF Scorecard15 баллов
Как исправить: Добавьте действие OpenSSF Scorecard (
ossf/scorecard-action) в репозиторий и исправьте самые слабые проверки из его списка, например защиту ветвей, закреплённые зависимости и разрешения токенов.
Цепочка поставок
10 / 25 баллов- ПройденоИмя пакета не похоже на популярный пакет10 баллов
Нет популярного пакета на расстоянии одной правки от cozo-memory
- ПроблемаНет критических предупреждений в пакете или его зависимостях15 баллов
Критическое уведомление: GHSA-23hp-3jrh-7fpw
osv.dev/vulnerability/GHSA-23hp-3jrh-7fpw ↗Как исправить: Обновите указанную выше зависимость до релиза без критической уязвимости (
npm audit fixилиpip install -Uи новый файл блокировки), затем опубликуйте новую версию.
Безопасность инструментов
20 / 20 баллов- ПройденоНет скрытых инструкций для модели15 баллов
Прочитано 5 описаний инструментов и README; фраз-переопределений, путей к учётным данным и скрытых символов нет
- ПройденоДеструктивные инструменты помечены5 баллов
Нет инструмента с именем вроде delete, drop или exec
Конечная точка
не проверено- Не проверялосьУдалённая конечная точка отвечает на рукопожатие MCP5 баллов
Что эти проверки не охватывают
- Код сервера не запускается, его логика не проверяется.
- Результаты описывают репозиторий и пакет на указанную выше дату; более поздний релиз может отличаться.
- Пройденная проверка не гарантирует безопасность. Выдавайте каждому серверу минимально необходимый токен или роль.