安全决策报告
universal-service-access
纯文档型凭证管理指导，无可执行代码，文档包含较完整安全规则但缺乏实现细节和验证机制。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
通过
隐藏执行与外联
当前没有明显的高危外联或执行信号。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
纯文档无代码执行 +-10
无 scripts/ 或可执行文件，风险大幅降低
缺少 allowed-tools 声明 +10
SKILL.md 未声明所需的 allowed-tools，权限边界不明确
文档设计被信任风险 +10
声称是'安全凭证管理器'但无技术实现，可能诱导用户泄露凭证
纯文本无验证机制 +5
'STORE SECURELY' 等指令无实现代码，无法验证是否执行
规则可能被覆盖 +5
大量 'NEVER' 规则易被 prompt injection 覆盖
最关键的证据
低危 文档欺骗
声称安全但无技术验证
文档声称是'安全凭证管理器'，包含 Never Echo Secret、Secure Storage 等规则，但无实现代码验证规则是否被执行。纯文档型 skill 可能被用户过度信任。
SKILL.md:48 明确说明此仅为 AI 行为指南，不具备技术安全机制
低危 权限提升
缺少 allowed-tools 声明
SKILL.md 未声明 AI agent 执行时需要的 allowed-tools。凭证管理暗示需要 filesystem 和 network 权限，但边界不明确。
SKILL.md:1 添加 allowed-tools 声明，如: allowed-tools: [Read, WebFetch]
提示 提示注入
规则易被覆盖风险
大量 'NEVER DISPLAY SECRET'、'NEVER COMMIT SECRET TO GIT' 等绝对性规则以纯文本呈现，无技术防护，可能被恶意上下文覆盖。
SKILL.md:63 考虑将关键安全规则在系统层面强制执行，而非依赖 AI 遵循
声明能力 vs 实际能力
文件系统 通过
声明 NONE
→ 推断 READ
SKILL.md:38 提到 'periksa SECRET STORE / ENVIRONMENT' 暗示需读环境变量，但无明确声明 网络访问 通过
声明 NONE
→ 推断 WRITE
SKILL.md:48 'Universal Workflow: DISCOVER → AUTHENTICATE → AUTHORIZE → CONNECT → EXECUTE' 暗示需网络写权限 credential_theft 通过
声明 WRITE
→ 推断 WRITE
SKILL.md:11 明确声明 'Kelola kredensial'，但无实现代码验证 可疑产物与外联
没有提取到明显 IOC。
依赖与供应链
没有结构化依赖告警。
文件构成
4 个文件 · 406 行
Markdown 2 个文件 · 392 行Other 1 个文件 · 7 行JSON 1 个文件 · 7 行
需关注文件 · 1
SKILL.md 声称安全但无技术验证 · 缺少 allowed-tools 声明 · 规则易被覆盖风险
其他文件 · README.md · LICENSE · _meta.json
安全亮点
文档包含详细的安全原则（Minimum Credential Principle、Never Echo Secret）
有完整的服务检测、连接测试、错误处理指导
包含 prompt injection 防护意识
有 destructive action guard 机制