cloud-compare
SKILL.md声明依赖需手动安装,但代码包含自动安装功能和反自动化检测绕过(stealth模式),存在文档-行为不一致。pip依赖无版本锁定存在供应链风险。
为什么得出这个结论
2/4 个维度触发发现 2 项声明之外的能力或越权行为。
提取到 1 个高危 IOC 或外联信号。
没有形成明确的恶意路径。
发现 3 项需要关注的依赖或供应链线索。
风险分是怎么被拉高的
SKILL.md声明依赖需手动安装,但代码实现自动安装(_ensure_dep/_ensure_playwright)
代码执行subprocess.run进行pip install和playwright install,未在SKILL.md声明
--disable-blink-features=AutomationControlled绕过爬虫检测,用户不知情
pip install playwright httpx beautifulsoup4 无版本限制
最关键的证据
文档声明与代码行为不符
SKILL.md声明'依赖需手动安装:pip install playwright httpx beautifulsoup4',但代码包含_ensure_dep()和_ensure_playwright()函数,会自动执行pip install和playwright install chromium。文档应明确说明是否支持自动安装。
scripts/cloud_doc_scraper.py:36 Stealth模式绕过反自动化检测
--stealth参数实现反爬虫功能,使用--disable-blink-features=AutomationControlled和Object.defineProperty(navigator, 'webdriver')绕过网站检测,但SKILL.md仅描述为'处理JS渲染兼容性问题',未说明真实用途。
scripts/cloud_doc_scraper.py:799 pip依赖无版本锁定
安装命令'pip install playwright httpx beautifulsoup4'无版本锁定,可能引入恶意或漏洞版本。
SKILL.md:29 硬编码IP地址(内网)
line 803存在硬编码IP 131.0.0.0,经分析为内网保留地址(131.0.0.0/8),非恶意IP但需确认用途。
scripts/cloud_doc_scraper.py:803 声明能力 vs 实际能力
web_fetch读取文档URL scripts/cloud_doc_scraper.py:36-47 _ensure_dep/_ensure_playwright执行subprocess scripts/cloud_doc_scraper.py:792 Path(output).write_text写入markdown 可疑产物与外联
131.0.0.0 scripts/cloud_doc_scraper.py:803
https://support.huaweicloud.cn/wtsnew- SKILL.md:77
https://help.aliyun.com/zh/ SKILL.md:80
https://docs.aws.amazon.com/zh_cn/ SKILL.md:85
https://help.aliyun.com/zh/ecs SKILL.md:92
https://help.aliyun.com/zh/ecs/product-overview/release-notes SKILL.md:92
https://help.aliyun.com/zh/fc SKILL.md:93
https://help.aliyun.com/zh/fc/product-overview/release-notes SKILL.md:93
https://help.aliyun.com/zh/oss SKILL.md:94
https://help.aliyun.com/zh/oss/product-overview/release-notes SKILL.md:94
https://help.aliyun.com/zh/nas SKILL.md:95
https://help.aliyun.com/zh/nas/product-overview/release-notes SKILL.md:95
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| playwright | * | pip | 否 | 无版本锁定 |
| httpx | * | pip | 否 | 无版本锁定 |
| beautifulsoup4 | * | pip | 否 | 无版本锁定 |
文件构成
scripts/cloud_doc_scraper.py SKILL.md