安全决策报告
solanaprox-ai
仅含文档的 AI 技能，声明 14 种能力但 Security Manifest 仅声明 2 项权限，存在明显的文档-行为差异，缺少可验证的实际代码。
最直接的威胁证据
高危 文档欺骗
敏感能力未在 Security Manifest 中声明 声明支持 14 种能力包括 code-execution（代码执行）、web-search、scraping 等敏感操作，但 Security Manifest 仅声明 Network 和 Env Read 两项权限，存在明显的声明-行为差异。
SKILL.md:97 为什么得出这个结论
1/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 4 个一般风险产物，需要结合上下文判断。
阻止
攻击链与高危发现
报告包含 0 步攻击链，另有 1 项高危或严重发现。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
文档-行为差异 +20
声明 14 种能力包括 code-execution/scraping，但 Security Manifest 仅声明 Network 和 Env Read
缺少可验证代码 +15
只有 SKILL.md，无脚本文件，无法验证实际行为
外部域名依赖 +10
所有 API 调用指向外部域名 solanaprox.com，无开源代码
最关键的证据
高危 文档欺骗
敏感能力未在 Security Manifest 中声明
声明支持 14 种能力包括 code-execution（代码执行）、web-search、scraping 等敏感操作，但 Security Manifest 仅声明 Network 和 Env Read 两项权限，存在明显的声明-行为差异。
SKILL.md:97 code-execution 和 scraping 等敏感能力应在 Security Manifest 中明确声明
中危 文档欺骗
外部服务依赖且无开源验证
所有功能实现依赖外部域名 solanaprox.com，缺少 GitHub 仓库或开源代码链接，无法验证实际行为与声明是否一致。
SKILL.md:8 提供开源代码或可信的第三方审计报告
中危 权限提升
Multi-Agent Orchestration 可能涉及更高权限操作
声称支持 agent-orchestration（代理编排），可能需要执行代码或访问文件系统，但未在声明中说明。
SKILL.md:88 明确声明 agent-orchestration 所需的具体权限
低危 敏感访问
钱包地址作为唯一凭证
使用 SOLANAPROX_WALLET_ADDRESS 作为唯一认证方式，可能被用于用户追踪。
SKILL.md:7 评估是否需要额外的隐私保护措施
声明能力 vs 实际能力
网络访问 通过
声明 READ
→ 推断 READ
SKILL.md:Security Manifest 环境变量 通过
声明 READ
→ 推断 READ
SKILL.md:Security Manifest - SOLANAPROX_WALLET_ADDRESS 网络访问 通过
声明 NONE
→ 推断 READ
SKILL.md:Capabilities list mentions web-search, scraping 命令执行 通过
声明 NONE
→ 推断 UNKNOWN
SKILL.md:Capabilities list mentions code-execution but not in Security Manifest 文件系统 通过
声明 NONE
→ 推断 UNKNOWN
Unknown - no script files to verify 可疑产物与外联
中危 外部 URL
https://solanaprox.com SKILL.md:8
中危 外部 URL
https://solanaprox.com/v1/messages SKILL.md:57
中危 外部 URL
https://solanaprox.com/api/orchestrate SKILL.md:92
中危 外部 URL
https://solanaprox.com/api/capabilities SKILL.md:109
依赖与供应链
没有结构化依赖告警。
文件构成
1 个文件 · 121 行
Markdown 1 个文件 · 121 行
需关注文件 · 1
SKILL.md 敏感能力未在 Security Manifest 中声明 · 外部服务依赖且无开源验证 · Multi-Agent Orchestration 可能涉及更高权限操作 · 钱包地址作为唯一凭证 · https://solanaprox.com · https://solanaprox.com/v1/messages · https://solanaprox.com/api/orchestrate · https://solanaprox.com/api/capabilities
安全亮点
文档结构完整，有 Security Manifest 表格
声明了运营商信息（LPX Digital Group LLC）
提供了使用示例和 SDK 安装说明