安全决策报告
cargo
Cargo CLI 路由技能包，纯文档类 skill，声明了宽泛的 shell:WRITE 权限且包含已警告的 curl|sh 安装模式，但整体为合法 GTM 平台文档，无恶意代码或阴影功能。
为什么得出这个结论
1/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
阻止
隐藏执行与外联
提取到 1 个高危 IOC 或外联信号。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
已警告的远程脚本执行 +10
SKILL.md:79 包含 curl -fsSL https://api.getcargo.io/install.sh | sh，skill 自身已明确警告「Never run that installer on the user's behalf without asking」并提供了安全的 npx 替代方案
声明了宽泛的 shell:WRITE 权限 +10
allowed-tools 映射为 Bash→shell:WRITE，允许执行任意 shell 命令，范围超出 skill 实际需要的 npm install 和 cargo-ai CLI 调用
最关键的证据
中危 供应链
已警告的远程脚本管道执行
SKILL.md:79 文档化了 curl -fsSL https://api.getcargo.io/install.sh | sh 安装模式，这是已知的高危模式。但 skill 自身已明确警告「Never run that installer on the user's behalf without asking」且提供了安全的 npx 替代方案，属于已声明风险的合法文档。
SKILL.md:79 始终使用 npx @cargo-ai/cli 或 npm install 替代；在执行远程脚本前先下载并审查内容。
低危 权限提升
宽泛的 shell:WRITE 权限声明
allowed-tools 映射 Bash→shell:WRITE，实质上允许 skill 执行任意 shell 命令，远超其实际需要的 npm install 和 cargo-ai CLI 调用。在信任的沙箱环境中此为可接受设计，但在更严格的权限控制下应限定为特定命令白名单。
SKILL.md 如环境支持，建议将 shell 权限降级为 READ 或限定可执行命令白名单。
低危 文档欺骗
会话上报功能涉及外部数据传输
session upsert 和 session-share report create 命令将会话活动发送到 Cargo 平台外部。skill 已要求用户同意且明确排除 secrets 和凭证，但这是数据外传的合法场景。
SKILL.md:89 确认 Cargo 平台的数据处理条款符合组织合规要求后再使用会话共享功能。
声明能力 vs 实际能力
文件系统 通过
声明 NONE
→ 推断 NONE
纯文档类 skill，无文件系统操作 网络访问 通过
声明 READ
→ 推断 READ
安装时从 registry.npmjs.org 和 api.getcargo.io 获取包，无主动外传数据 命令执行 通过
声明 WRITE
→ 推断 WRITE
SKILL.md 声明可执行 npm install、cargo-ai CLI 命令，权限范围宽泛但实际用于合法 GTM 平台操作 环境变量 通过
声明 NONE
→ 推断 NONE
无环境变量遍历或凭证收割 技能调用 通过
声明 ADMIN
→ 推断 ADMIN
router skill 加载其他 cargo-* 子 skill，符合预期 剪贴板 通过
声明 NONE
→ 推断 NONE
无剪贴板操作 浏览器 通过
声明 NONE
→ 推断 NONE
无浏览器自动化 数据库 通过
声明 NONE
→ 推断 NONE
通过 cargo-ai CLI 间接访问 Cargo 平台存储，但 skill 本身无直接数据库访问 可疑产物与外联
严重 危险命令
curl -fsSL https://api.getcargo.io/install.sh | sh SKILL.md:79
中危 外部 URL
https://api.getcargo.io/install.sh SKILL.md:79
中危 外部 URL
https://clawhub.ai/user/cargo-ai skill-card.md:9
中危 外部 URL
https://clawhub.ai/cargo-ai/skills/cargo skill-card.md:43
依赖与供应链
没有结构化依赖告警。
文件构成
10 个文件 · 1375 行
Markdown 8 个文件 · 1327 行JSON 1 个文件 · 47 行Other 1 个文件 · 1 行
需关注文件 · 2
SKILL.md 已警告的远程脚本管道执行 · 宽泛的 shell:WRITE 权限声明 · 会话上报功能涉及外部数据传输 · curl -fsSL https://api.getcargo.io/install.sh | sh · https://api.getcargo.io/install.sh · [email protected]
skill-card.md https://clawhub.ai/user/cargo-ai · https://clawhub.ai/cargo-ai/skills/cargo
其他文件 · glossary.md · gotchas.md · interaction.md · use-cases.md · prerequisites.md · uuid-flow.md +2
安全亮点
纯文档类 skill，无任何可执行代码（.js/.py/.sh），不存在代码层面的阴影功能
Skill 自身已警告 curl|sh 危险模式，明确要求「ask before running」并提供安全替代
提供了详尽的权限提示（admin-only 命令、会话报告需同意等）
无凭证收割、无环境变量遍历、无 base64/eval 混淆
无数据外泄意图，报告外传功能需用户明确同意并排除敏感数据
会话注册功能仅在用户同意或插件安装时执行
成本控制机制完善（sample→approval→full run 流程）
token 创建后仅显示一次已明确告知并要求立即存入 secrets manager