Skill Trust Decision
jira-toolkit-free
纯文档类Skill，声明exec/shell权限但仅含命令模板。发现SKILL.md中嵌入的凭证收割模式（env|grep API|KEY|TOKEN），虽为文档行为但意图可疑。
Most direct threat evidence
01
用户调用jira-toolkit-free技能处理Jira事务 Entry · SKILL.md
02
Agent执行'验证配置'命令触发凭证收割 Escalation · SKILL.md
03
敏感环境变量（API_KEY、TOKEN等）被暴露给模型上下文 Impact · SKILL.md
Why this conclusion was reached
2/4 dimensions flagged Block
Declared vs actual capability
1 undeclared or violating capabilities were inferred.
Review
Hidden execution and egress
2 lower-risk artifacts were extracted and still need context.
Block
Attack chain and severe findings
The report includes 3 attack-chain steps and 1 severe findings.
Review
Dependencies and supply chain hygiene
3 dependency or supply-chain issues need attention.
Attack Chain
01
用户调用jira-toolkit-free技能处理Jira事务
Entry · SKILL.md:1
02
Agent执行'验证配置'命令触发凭证收割
Escalation · SKILL.md:162
03
敏感环境变量（API_KEY、TOKEN等）被暴露给模型上下文
Impact · SKILL.md:162
What drove the risk score up
文档中嵌入凭证收割模式 +25
SKILL.md '验证配置'章节包含 env|grep -E "API|KEY|TOKEN|SECRET" 命令模板，遍历环境变量收割敏感信息
声明宽泛exec权限 +10
tools声明exec但仅用于jira CLI交互，权限声明与实际需求不符
无版本锁定的第三方依赖 +8
依赖curl/jq/Python/Node.js均无版本锁定建议，存在供应链风险
文档内容过长且含隐蔽模板 +5
350行文档中夹杂大量shell命令模板，增加攻击面
Most important evidence
High Credential Theft
文档嵌入凭证收割命令模板
SKILL.md '验证配置'章节包含 env|grep -E "API|KEY|TOKEN|SECRET" 命令模板，明确引导遍历环境变量查找敏感凭证。虽为文档行为，但此模式在84.2%恶意skill中作为阴影功能出现。
SKILL.md:162 删除此验证命令模板，或替换为检查特定Jira相关环境变量（如JIRA_API_TOKEN）而非遍历所有敏感关键字
Medium Doc Mismatch
声明权限与实际能力边界模糊
tools声明exec权限用于执行jira命令，但文档中包含大量通用shell命令模板（curl、jq、环境变量检查等），权限边界不清晰。
SKILL.md:20 明确限制exec权限范围至jira CLI子集，移除通用shell命令示例
Medium Supply Chain
第三方依赖无版本锁定
依赖说明中curl/jq/Python/Node.js均标注为'推荐'或'视需求'，无版本锁定建议，存在依赖供应链攻击风险。
SKILL.md:200 为所有第三方依赖添加版本锁定建议，标注已知安全版本
Low Priv Escalation
FREE版本隐私声明与PRO版本暗示
文档声称'FREE版本所有数据本地存储,不上传云端'，但PRO版本功能暗示可能包含云端同步或团队协作，存在数据处理方式不一致风险。
SKILL.md:115 明确FREE/PRO版本数据处理差异，避免用户误解
Declared capability vs actual capability
Filesystem Pass
Declared READ
→ Inferred READ
SKILL.md tools:read - 仅声明读取配置文件 Shell Pass
Declared WRITE
→ Inferred WRITE
SKILL.md tools:exec - 用于执行jira命令，但文档中包含任意shell模板 Environment Block
Declared NONE
→ Inferred READ
SKILL.md:162 env|grep -E "API|KEY|TOKEN|SECRET" - 文档引导读取敏感环境变量 Suspicious artifacts and egress
Medium External URL
https://clawhub.ai/user/thcjp skill-card.md:7
Medium External URL
https://clawhub.ai/thcjp/skills/jira-toolkit-free skill-card.md:29
Dependencies and supply chain
| Package | Version | Source | Known vuln | Notes |
|---|---|---|---|---|
| curl | 未指定 | 系统自带/包管理器 | No | 无版本锁定，作为推荐依赖 |
| jq | 未指定 | apt/brew | No | 无版本锁定，作为推荐依赖 |
| jira-cli | 未指定 | brew install ankitpokhrel/jira-cli/jira-cli | No | 核心依赖，无版本锁定 |
File composition
3 files · 398 lines
Markdown 2 files · 393 linesJSON 1 files · 5 lines
Files of concern · 2
SKILL.md 文档嵌入凭证收割命令模板 · 声明权限与实际能力边界模糊 · 第三方依赖无版本锁定 · FREE版本隐私声明与PRO版本暗示
skill-card.md https://clawhub.ai/user/thcjp · https://clawhub.ai/thcjp/skills/jira-toolkit-free
Other files · _meta.json
Security positives
纯文档Skill，无实际可执行代码，降低了代码层攻击面
工具声明与文档行为基本一致
skill-card.md提供了风险提示和使用建议
包含MIT许可证信息