Skill Trust Decision
vmware-aiops
VMware AIops 是一个纯文档型 skill，代码通过 uv tool install 安装的 Python 包分发。文档详细记录了安全风险（MCP 无确认、vm_guest_exec 任意命令执行），IOC `rm -rf /` 是说明潜在危险的示例命令而非实际恶意代码。
Why this conclusion was reached
1/4 dimensions flagged Pass
Declared vs actual capability
Declared resources and inferred behavior are broadly aligned.
Block
Hidden execution and egress
1 high-risk artifacts or egress signals were extracted.
Pass
Attack chain and severe findings
There is no explicit malicious chain in the report.
Review
Dependencies and supply chain hygiene
Dependency information is incomplete, so supply-chain confidence stays limited.
What drove the risk score up
IOC 标记（rm -rf /） +0
文档引用示例命令说明 vm_guest_exec 潜在危害，非实际恶意代码
权限声明宽泛 +10
43 个写工具 + vm_guest_exec 可执行任意命令，但文档详细说明了风险
Base64 混淆存储 +5
setup-guide.md:67 明确警告这不是加密，仅防 grep
MCP 无确认机制 +5
36/43 写工具首次调用即执行，但文档已明确声明
Most important evidence
Medium Credential Theft
密码 Base64 混淆非加密
setup-guide.md 明确说明 .env 中密码被编码为 `b64:<encoded>` 形式，但这只是防 grep 的混淆，任何能读取文件的人都能解码。文档承认这不是真正的加密。
references/setup-guide.md:67 使用 secret manager（HashiCorp Vault、AWS Secrets Manager）注入密码，而非存储在 .env 中
Medium RCE
vm_guest_exec 执行无限制命令
capabilities.md:63 明确说明 vm_guest_exec 可以运行任意命令（包括 `rm -rf /`），这是一个文档已声明的高风险功能。Guest 凭证是独立的授权边界，read-only vCenter 角色无法限制。
references/capabilities.md:63 vm_guest_exec 应仅在必要时使用，使用 least-privilege guest 账户
Low Priv Escalation
MCP 写工具无确认机制
43 个写工具中，36 个首次调用即执行，无 dry-run。文档已明确声明这是设计决策（D-2），依赖 vCenter RBAC 作为防护边界。
references/capabilities.md:37 使用 least-privilege vCenter 服务账户，确保该账户只能执行允许的操作
Low Doc Mismatch
IOC 标记说明
预扫描标记的 `rm -rf /` IOC 实为文档示例，用于说明 vm_guest_exec 的潜在危害范围。这是正当的文档行为，非实际恶意代码。
references/capabilities.md:63 此 IOC 可忽略，是文档中说明风险的示例命令
Declared capability vs actual capability
Filesystem Pass
Declared WRITE
→ Inferred WRITE
SKILL.md allowed-tools Network Pass
Declared WRITE
→ Inferred WRITE
vCenter/ESXi API via pyVmomi Shell Pass
Declared WRITE
→ Inferred WRITE
vm_guest_exec runs arbitrary commands in guest VMs Environment Pass
Declared READ
→ Inferred READ
VMWARE_*_PASSWORD env var loading Suspicious artifacts and egress
Critical Dangerous Command
rm -rf / references/capabilities.md:63
Dependencies and supply chain
There are no structured dependency warnings.
File composition
7 files · 1236 lines
Markdown 6 files · 1187 linesJSON 1 files · 49 lines
Files of concern · 2
references/capabilities.md vm_guest_exec 执行无限制命令 · MCP 写工具无确认机制 · IOC 标记说明 · rm -rf /
references/setup-guide.md 密码 Base64 混淆非加密
Other files · SKILL.md · agent-guardrails.md · investigation-protocol.md · cli-reference.md · evals.json
Security positives
文档详尽，明确说明了所有高风险操作的潜在危害
审计机制完善（~/.vmware/audit.db 记录所有 MCP 调用）
可选的 policy deny rules 提供额外防护
prompt injection 保护：vSphere 内容经过边界标记处理
TLS 验证默认启用
代码完全开源（MIT），可审计
安全默认值（webhook 禁用、环境标签支持、凭证分离）