中文 EN
开始可信审查
安全决策报告

mirna-target-tools

合法的 miRNA 靶基因预测生物信息学工具，存在依赖版本未锁定的供应链风险，但无恶意行为

安装决策优先 来源: ClawHub 扫描时间: 2026/9/2
文件 12
IOC 6
越权项 2
发现 3

为什么得出这个结论

1/4 个维度触发
阻止
声明与实际能力

发现 2 项声明之外的能力或越权行为。

复核
隐藏执行与外联

提取到 6 个一般风险产物，需要结合上下文判断。

通过
攻击链与高危发现

没有形成明确的恶意路径。

复核
依赖与供应链卫生

发现 4 项需要关注的依赖或供应链线索。

风险分是怎么被拉高的

pip install 无版本锁定 +10

install_dependencies.sh 第26/50行 pip3 install 未指定版本

wget/curl 远程下载 +5

从 GitHub 下载 miRanda 源码，但为标准生信工具

sudo 系统级操作 +5

install_dependencies.sh 使用 sudo apt-get，超出纯文档声明

最关键的证据

低危 供应链

依赖项无版本锁定

install_dependencies.sh 和 SKILL.md 中的 pip install 命令未指定依赖版本，可能导致依赖解析不确定性

scripts/install_dependencies.sh:26
建议使用 pip3 install mygene==X.Y.Z matplotlib==X.Y.Z 锁定版本
低危 权限提升

系统级安装操作超出文档声明

install_dependencies.sh 使用 sudo apt-get 安装系统包，这属于权限提升操作但文档未声明

scripts/install_dependencies.sh:11
建议在 SKILL.md 中明确声明需要 sudo 权限
提示 供应链

从非官方源下载工具

install_dependencies.sh 从 GitHub mirror 下载 miRanda（称原站 down），为可信 GitHub 源但非官方分发

scripts/install_dependencies.sh:23
可接受，但建议记录原始官方源 URL

声明能力 vs 实际能力

文件系统 通过
声明 READ
→
推断 READ
各脚本读取用户输入文件
网络访问 通过
声明 READ
→
推断 READ
annotate_targets.py:52,58 访问 MyGene.info 和 g:Profiler API
命令执行 阻止
声明 NONE
→
推断 WRITE
miranda_predict.py:29, targetscan_predict.py:24 调用 subprocess
环境变量 阻止
声明 NONE
→
推断 READ
check_env.py:12 shutil.which() 检测工具

可疑产物与外联

中危 外部 URL
https://www.targetscan.org/

references/workflow.md:147

中危 外部 URL
https://biit.cs.ut.ee/gprofiler/api/gost/profile/

scripts/annotate_targets.py:52

中危 外部 URL
https://www.targetscan.org/cgi-bin/targetscan/data_download.cgi

scripts/install_dependencies.sh:33

中危 外部 URL
https://brew.sh/

scripts/install_dependencies.sh:38

中危 外部 URL
https://cytoscape.org/download.html

scripts/install_dependencies.sh:59

中危 外部 URL
https://cytoscape.org/

scripts/install_dependencies.sh:71

依赖与供应链

包名版本来源漏洞备注
pandas * pip 否 无版本锁定
numpy * pip 否 无版本锁定
mygene * pip 否 无版本锁定，可选依赖
matplotlib * pip 否 无版本锁定，可选依赖

文件构成

12 个文件 · 1306 行
Python 7 个文件 · 801 行Markdown 3 个文件 · 412 行Shell 1 个文件 · 72 行Other 1 个文件 · 21 行
需关注文件 · 3
scripts/annotate_targets.py Python · 251 行
https://biit.cs.ut.ee/gprofiler/api/gost/profile/
references/workflow.md Markdown · 162 行
https://www.targetscan.org/
scripts/install_dependencies.sh Shell · 72 行
依赖项无版本锁定 · 系统级安装操作超出文档声明 · 从非官方源下载工具 · https://www.targetscan.org/cgi-bin/targetscan/data_download.cgi · https://brew.sh/ · https://cytoscape.org/download.html · https://cytoscape.org/
其他文件 · README.md · SKILL.md · merge_targets.py · plot_enrichment.py · miranda_predict.py · targetscan_predict.py +3

安全亮点

代码结构清晰，功能与文档描述一致
无凭证收割、环境变量遍历等恶意行为
无 base64 编码、eval()、反分析等可疑模式
网络请求明确用于生信 API（MyGene.info、g:Profiler）
subprocess 调用外部生信工具符合工具设计意图