Отчёт 01M7EH406V24MBK3CS9N7ECCDQ · checks-v2
Навык codeql: автоматические проверки
Что HostedMCP проверил 15 нояб. 2026 г., 02:38 UTC. Каждый результат ссылается на публичный источник, из которого он получен, чтобы вы могли проверить его сами.
7 из 7 проверок выполнено · 0 серьёзных находок · это не аудит безопасности
- Проверено
- 15 нояб. 2026 г., 02:38 UTC
- Прочитанные файлы
- SKILL.md и скрипты
- Методология
- checks-v2
Что исправить для более высокого балла
3 проверки могут принести больше баллов. Следующее сканирование пройдёт в течение недели или сразу после изменения репозитория.
- Open source лицензия (OSI) до +10 баллов
Добавьте файл LICENSE и укажите его SPDX-идентификатор во front matter SKILL.md, например
license: MIT. - В скриптах нет загрузки с запуском и кражи учётных данных до +20 баллов
Поставляйте читаемый исходный код, а не скомпилированные файлы, и уберите из указанного выше скрипта то, что привело к ошибке: скачивание и запуск кода, запуск декодированного или удалённого содержимого либо чтение учётных данных и их отправку. Если скриптов больше пяти, непрочитанные не приносят баллов.
- Заранее разрешённые инструменты ограничены до +10 баллов
Сузьте
allowed-toolsдо команд, которые нужны навыку, напримерBash(git status:*), а неBashилиBash(curl:*). Перед всем остальным агент по-прежнему спрашивает.
Происхождение
15 / 25 баллов- ПройденоСвязанный и доступный исходный репозиторий10 баллов
trailofbits/skills/plugins/static-analysis/skills/codeql публичен и доступен
github.com/trailofbits/skills/tree/HEAD/plugins/static-analysis/skills ↗ - ПроблемаOpen source лицензия (OSI)10 баллов
CC-BY-SA-4.0 не одобрена OSI
spdx.org/licenses/CC-BY-SA-4.0.html ↗Как исправить: Добавьте файл LICENSE и укажите его SPDX-идентификатор во front matter SKILL.md, например
license: MIT. - ПройденоКоммит или релиз за последний год5 баллов
Последний коммит 2026-11-11
github.com/trailofbits/skills/commits ↗
Скрипты
10 / 30 баллов- ЧастичноВ скриптах нет загрузки с запуском и кражи учётных данных10 / 30 баллов
прочитано 5 из 15 скриптов; ни один из них не скачивает и не запускает код, остальные не прочитаны
Как исправить: Поставляйте читаемый исходный код, а не скомпилированные файлы, и уберите из указанного выше скрипта то, что привело к ошибке: скачивание и запуск кода, запуск декодированного или удалённого содержимого либо чтение учётных данных и их отправку. Если скриптов больше пяти, непрочитанные не приносят баллов.
Инструкции агенту
20 / 30 баллов- ПройденоВ SKILL.md нет скрытых инструкций20 баллов
Нет фраз для обхода, отключения защит, запросов учётных данных или скрытых символов
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗ - ПроблемаЗаранее разрешённые инструменты ограничены10 баллов
Bash позволяет агенту выполнять любые команды оболочки без запроса
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗Как исправить: Сузьте
allowed-toolsдо команд, которые нужны навыку, напримерBash(git status:*), а неBashилиBash(curl:*). Перед всем остальным агент по-прежнему спрашивает.
Формат
15 / 15 баллов- ПройденоSKILL.md соответствует формату Agent Skills15 баллов
Корректные name и description; указано, когда использовать; 296 строк
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗
Что эти проверки не охватывают
- Скрипты читаются, но не запускаются. Их логика не проверяется, читается до пяти скриптов на навык.
- Результаты описывают папку навыка на указанную выше дату; более поздний коммит может отличаться.
- Пройденная проверка не гарантирует безопасность. Прочитайте скрипты, прежде чем разрешить агенту их запуск, и ограничивайте allowed-tools.