Rapor 01M7FHQX448ND9XMH2X6RQXP9T · checks-v2
ghost-scan-code skill: otomatik checks
HostedMCP'nin 15 Kas 2026 12:08 UTC tarihinde kontrol ettikleri. Her sonuç, geldiği herkese açık kaynağa bağlantı verir; böylece kendiniz de kontrol edebilirsiniz.
7 checks'ten 7 tanesi çalıştı · 0 yüksek bulgu · güvenlik denetimi değildir
- Kontrol edildi
- 15 Kas 2026 12:08 UTC
- Okunan dosyalar
- SKILL.md ve betikler
- Metodoloji
- checks-v2
Daha yüksek puan için neleri düzeltmeli
2 kontrol daha fazla puan kazandırabilir. Sonraki tarama bir hafta içinde veya depo değiştikten hemen sonra çalışır.
- Önceden izin verilen araçlar sınırlı en fazla +10 puan
allowed-toolsdeğerini becerinin ihtiyaç duyduğu komutlarla daraltın, örneğinBashveyaBash(curl:*)değil,Bash(git status:*). Aracı yine de her şeyden önce sorar. - SKILL.md, Agent Skills biçimine uyuyor en fazla +5 puan
SKILL.md dosyasını bir
name(küçük harfler, rakamlar ve tireler, klasörle aynı) ve 1.024 karakterden kısa, becerinin ne yaptığını ve ne zaman kullanılacağını anlatan birdescriptioniçeren ön bilgiyle başlatın.
Köken
25 / 25 puan- GeçtiKaynak deposu bağlantılı ve erişilebilir10 puan
ghostsecurity/skills/plugins/ghost/skills/scan-code herkese açık ve erişilebilir
github.com/ghostsecurity/skills/tree/HEAD/plugins/ghost/skills/scan-co ↗ - Geçti
- GeçtiSon bir yıl içinde commit veya sürüm mevcut5 puan
Son işleme 2026-09-28
github.com/ghostsecurity/skills/commits ↗
Betikler
30 / 30 puan- GeçtiBetiklerde indir-çalıştır veya kimlik bilgisi hırsızlığı yok30 puan
1 betik okundu; indirip çalıştırma, uzak değerlendirme, base64 yürütme veya kimlik bilgisi yükleme yok
Agenta verilen talimatlar
20 / 30 puan- GeçtiSKILL.md içinde gizli talimat yok20 puan
Geçersiz kılma ifadeleri, güvenlik önlemi devre dışı bırakmaları, kimlik bilgisi istekleri veya gizli karakterler yok
github.com/ghostsecurity/skills/blob/HEAD/plugins/ghost/skills/scan-co ↗ - BulguÖnceden izin verilen araçlar sınırlı10 puan
Bash ajanın sormadan herhangi bir kabuk komutu çalıştırmasına izin verir
github.com/ghostsecurity/skills/blob/HEAD/plugins/ghost/skills/scan-co ↗Nasıl düzeltilir:
allowed-toolsdeğerini becerinin ihtiyaç duyduğu komutlarla daraltın, örneğinBashveyaBash(curl:*)değil,Bash(git status:*). Aracı yine de her şeyden önce sorar.
Biçim
10 / 15 puan- KısmiSKILL.md, Agent Skills biçimine uyuyor10 / 15 puan
name "ghost-scan-code" differs from the folder "scan-code"
github.com/ghostsecurity/skills/blob/HEAD/plugins/ghost/skills/scan-co ↗Nasıl düzeltilir: SKILL.md dosyasını bir
name(küçük harfler, rakamlar ve tireler, klasörle aynı) ve 1.024 karakterden kısa, becerinin ne yaptığını ve ne zaman kullanılacağını anlatan birdescriptioniçeren ön bilgiyle başlatın.
Bu kontrollerin kapsamadıkları
- Betikler okunur, asla çalıştırılmaz. Mantıkları denetlenmez ve her beceri için en fazla beş betik okunur.
- Sonuçlar, yukarıdaki tarihteki beceri klasörünü tanımlar; sonraki bir commit farklı olabilir.
- Geçmek güvenlik garantisi değildir. Bir ajanın çalıştırmasına izin vermeden önce betikleri okuyun ve allowed-tools değerini dar tutun.