Rapor 01M7EH406V24MBK3CS9N7ECCDQ · checks-v2
codeql skill: otomatik checks
HostedMCP'nin 15 Kas 2026 02:38 UTC tarihinde kontrol ettikleri. Her sonuç, geldiği herkese açık kaynağa bağlantı verir; böylece kendiniz de kontrol edebilirsiniz.
7 checks'ten 7 tanesi çalıştı · 0 yüksek bulgu · güvenlik denetimi değildir
- Kontrol edildi
- 15 Kas 2026 02:38 UTC
- Okunan dosyalar
- SKILL.md ve betikler
- Metodoloji
- checks-v2
Daha yüksek puan için neleri düzeltmeli
3 kontrol daha fazla puan kazandırabilir. Sonraki tarama bir hafta içinde veya depo değiştikten hemen sonra çalışır.
- Açık kaynak lisansı (OSI) en fazla +10 puan
Bir LICENSE dosyası ekleyin ve SKILL.md ön bilgisinde SPDX kimliğiyle adlandırın, örneğin
license: MIT. - Betiklerde indir-çalıştır veya kimlik bilgisi hırsızlığı yok en fazla +20 puan
Derlenmiş dosyalar değil, okunabilir kaynak gönderin ve yukarıda adı geçen betikten başarısız olmasına neden olan şeyi kaldırın: kod indirip çalıştırma, kod çözülmüş veya uzak içerik çalıştırma ya da kimlik bilgilerini okuyup dışarı gönderme. Beşten fazla betik varsa, okunmayanlar hiçbir şey kazandırmaz.
- Önceden izin verilen araçlar sınırlı en fazla +10 puan
allowed-toolsdeğerini becerinin ihtiyaç duyduğu komutlarla daraltın, örneğinBashveyaBash(curl:*)değil,Bash(git status:*). Aracı yine de her şeyden önce sorar.
Köken
15 / 25 puan- GeçtiKaynak deposu bağlantılı ve erişilebilir10 puan
trailofbits/skills/plugins/static-analysis/skills/codeql herkese açık ve erişilebilir
github.com/trailofbits/skills/tree/HEAD/plugins/static-analysis/skills ↗ - BulguAçık kaynak lisansı (OSI)10 puan
CC-BY-SA-4.0 OSI onaylı değil
spdx.org/licenses/CC-BY-SA-4.0.html ↗Nasıl düzeltilir: Bir LICENSE dosyası ekleyin ve SKILL.md ön bilgisinde SPDX kimliğiyle adlandırın, örneğin
license: MIT. - GeçtiSon bir yıl içinde commit veya sürüm mevcut5 puan
Son işleme 2026-11-11
github.com/trailofbits/skills/commits ↗
Betikler
10 / 30 puan- KısmiBetiklerde indir-çalıştır veya kimlik bilgisi hırsızlığı yok10 / 30 puan
15 betikten 5 tanesi okundu; hiçbiri kod indirip çalıştırmıyor, geri kalanı okunmadı
Nasıl düzeltilir: Derlenmiş dosyalar değil, okunabilir kaynak gönderin ve yukarıda adı geçen betikten başarısız olmasına neden olan şeyi kaldırın: kod indirip çalıştırma, kod çözülmüş veya uzak içerik çalıştırma ya da kimlik bilgilerini okuyup dışarı gönderme. Beşten fazla betik varsa, okunmayanlar hiçbir şey kazandırmaz.
Agenta verilen talimatlar
20 / 30 puan- GeçtiSKILL.md içinde gizli talimat yok20 puan
Geçersiz kılma ifadeleri, güvenlik önlemi devre dışı bırakmaları, kimlik bilgisi istekleri veya gizli karakterler yok
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗ - BulguÖnceden izin verilen araçlar sınırlı10 puan
Bash ajanın sormadan herhangi bir kabuk komutu çalıştırmasına izin verir
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗Nasıl düzeltilir:
allowed-toolsdeğerini becerinin ihtiyaç duyduğu komutlarla daraltın, örneğinBashveyaBash(curl:*)değil,Bash(git status:*). Aracı yine de her şeyden önce sorar.
Biçim
15 / 15 puan- GeçtiSKILL.md, Agent Skills biçimine uyuyor15 puan
Geçerli ad ve açıklama; ne zaman kullanılacağını söylüyor; 296 satır
github.com/trailofbits/skills/blob/HEAD/plugins/static-analysis/skills ↗
Bu kontrollerin kapsamadıkları
- Betikler okunur, asla çalıştırılmaz. Mantıkları denetlenmez ve her beceri için en fazla beş betik okunur.
- Sonuçlar, yukarıdaki tarihteki beceri klasörünü tanımlar; sonraki bir commit farklı olabilir.
- Geçmek güvenlik garantisi değildir. Bir ajanın çalıştırmasına izin vermeden önce betikleri okuyun ve allowed-tools değerini dar tutun.