安全决策报告
codexbox
纯文档型skill包，声明功能与文档内容一致，Docker容器化的OpenAI Codex CLI工具，所有风险在文档中有明确警告。
为什么得出这个结论
0/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
复核
隐藏执行与外联
提取到 3 个一般风险产物，需要结合上下文判断。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
默认无认证端点暴露 +10
API/MCP端点默认无认证，文档已有警告但实际风险取决于用户配置
远程脚本安装风险 +10
curl|bash管道安装已被文档标记为风险，建议先审查再执行
文件删除不可逆 +5
文档明确警告文件删除无撤销功能
最关键的证据
中危 权限提升
默认无认证暴露敏感操作
CODEXBOX_API_MODE_TOKEN 和 CODEXBOX_MCP_MODE_TOKEN 默认空值，导致API和MCP端点完全无认证，任何能访问端口的人可执行代码和操作文件
SKILL.md:1 部署时必须设置强认证令牌，绑定到localhost或置于认证代理之后
中危 供应链
远程脚本安装风险
一键安装脚本使用 curl|bash 管道执行远程代码，文档虽已警告但仍可能被用户忽视直接执行
SKILL.md:1 始终使用 curl -o install.sh 下载 → less install.sh 审查 → bash install.sh 执行
低危 敏感访问
工作区挂载当前目录
默认挂载 $PWD 为工作区，可能暴露敏感项目文件给codex执行
SKILL.md:1 使用专用隔离目录作为工作区，避免挂载包含敏感文件的主目录
声明能力 vs 实际能力
文件系统 通过
声明 WRITE
→ 推断 WRITE
SKILL.md 描述文件上传/下载/删除功能 命令执行 通过
声明 WRITE
→ 推断 WRITE
通过 codex CLI 执行命令 网络访问 通过
声明 WRITE
→ 推断 WRITE
REST API、OpenAI兼容端点、MCP服务器、Telegram 可疑产物与外联
中危 外部 URL
http://host:8080/openai/v1 SKILL.md:135
中危 外部 URL
https://clawhub.ai/user/psyb0t skill-card.md:9
中危 外部 URL
https://clawhub.ai/psyb0t/skills/codexbox skill-card.md:43
依赖与供应链
没有结构化依赖告警。
文件构成
3 个文件 · 577 行
Markdown 3 个文件 · 577 行
需关注文件 · 2
SKILL.md 默认无认证暴露敏感操作 · 远程脚本安装风险 · 工作区挂载当前目录 · http://host:8080/openai/v1
skill-card.md https://clawhub.ai/user/psyb0t · https://clawhub.ai/psyb0t/skills/codexbox
其他文件 · setup.md
安全亮点
文档完整清晰，所有风险在文档中有明确警告
安全设计合理（独立的双认证层、文件路径遍历检查）
代码执行为Docker容器化，隔离性好
文件操作有明确范围限制（workspace root）
支持 ChatGPT 订阅认证方式避免API密钥暴露