Skill Trust Decision
juhe-ai-image-generate-a2a
隐私声明与功能描述严重不符，文档存在欺骗性内容
Most direct threat evidence
High Doc Mismatch
隐私声明与技能功能描述矛盾 隐私说明章节声称'本技能仅用于查询身份证号码对应的基本信息'，但技能描述和实际功能是AI图像生成。这是一个严重的文档欺骗行为，可能是模板复用错误或故意隐瞒真实用途。
SKILL.md:82 Why this conclusion was reached
1/4 dimensions flagged Pass
Declared vs actual capability
Declared resources and inferred behavior are broadly aligned.
Review
Hidden execution and egress
1 lower-risk artifacts were extracted and still need context.
Block
Attack chain and severe findings
The report includes 0 attack-chain steps and 1 severe findings.
Pass
Dependencies and supply chain hygiene
Dependencies are present but no obvious high-risk issue stands out.
What drove the risk score up
隐私声明与功能描述不符 +25
隐私说明称'仅用于查询身份证号码'，但技能实际是图像生成，存在文档欺骗
外部API调用 +10
向 apis.juhe.cn/a2a/query 发起请求，数据流向不明确
支付集成风险 +5
集成支付宝支付系统，涉及金融交易但无代码可验证安全性
Most important evidence
High Doc Mismatch
隐私声明与技能功能描述矛盾
隐私说明章节声称'本技能仅用于查询身份证号码对应的基本信息'，但技能描述和实际功能是AI图像生成。这是一个严重的文档欺骗行为，可能是模板复用错误或故意隐瞒真实用途。
SKILL.md:82 必须澄清技能实际用途，要求开发者提供一致的文档说明
Medium Supply Chain
外部API依赖且数据流向不透明
技能依赖外部服务 apis.juhe.cn/a2a/query，但未说明该服务的可信度、数据处理政策和安全合规性。用户请求的 prompt 和可能的生成结果会传输到第三方。
SKILL.md:63 评估第三方服务安全性，明确数据处理协议
Medium Supply Chain
支付集成缺乏透明度
技能需要集成 alipay-authenticate-wallet 和 alipay-payment-skill，但未说明这些依赖技能的安全性。涉及真实金融交易时存在风险。
SKILL.md:21 验证支付相关技能的安全性，审查支付流程是否存在漏洞
Declared capability vs actual capability
Network Pass
Declared READ
→ Inferred READ
SKILL.md:63 curl https://apis.juhe.cn/a2a/query Shell Pass
Declared WRITE
→ Inferred WRITE
SKILL.md:63 通过 curl 执行外部 API 请求 Suspicious artifacts and egress
Medium External URL
https://apis.juhe.cn/a2a/query SKILL.md:63
Dependencies and supply chain
| Package | Version | Source | Known vuln | Notes |
|---|---|---|---|---|
| alipay-authenticate-wallet | N/A | clawhub | No | 外部技能依赖，安全性需单独评估 |
| alipay-payment-skill | N/A | clawhub | No | 外部技能依赖，安全性需单独评估 |
| apis.juhe.cn | N/A | external_api | No | 第三方图像生成API，数据处理政策不明 |
File composition
1 files · 92 lines
Markdown 1 files · 92 lines
Files of concern · 1
SKILL.md 隐私声明与技能功能描述矛盾 · 外部API依赖且数据流向不透明 · 支付集成缺乏透明度 · https://apis.juhe.cn/a2a/query
Security positives
仅包含文档文件，无可执行代码，分析较为明确
声称基于标准 HTTP 协议和已知支付框架
包含明确的异常处理和错误恢复指导