安全决策报告
vmware-aiops
VMware AIops 是一个纯文档型 skill，代码通过 uv tool install 安装的 Python 包分发。文档详细记录了安全风险（MCP 无确认、vm_guest_exec 任意命令执行），IOC `rm -rf /` 是说明潜在危险的示例命令而非实际恶意代码。
为什么得出这个结论
1/4 个维度触发 通过
声明与实际能力
声明资源与推断能力基本一致。
阻止
隐藏执行与外联
提取到 1 个高危 IOC 或外联信号。
通过
攻击链与高危发现
没有形成明确的恶意路径。
复核
依赖与供应链卫生
没有完整依赖信息，供应链判断需要保留弹性。
风险分是怎么被拉高的
IOC 标记（rm -rf /） +0
文档引用示例命令说明 vm_guest_exec 潜在危害，非实际恶意代码
权限声明宽泛 +10
43 个写工具 + vm_guest_exec 可执行任意命令，但文档详细说明了风险
Base64 混淆存储 +5
setup-guide.md:67 明确警告这不是加密，仅防 grep
MCP 无确认机制 +5
36/43 写工具首次调用即执行，但文档已明确声明
最关键的证据
中危 凭证窃取
密码 Base64 混淆非加密
setup-guide.md 明确说明 .env 中密码被编码为 `b64:<encoded>` 形式，但这只是防 grep 的混淆，任何能读取文件的人都能解码。文档承认这不是真正的加密。
references/setup-guide.md:67 使用 secret manager（HashiCorp Vault、AWS Secrets Manager）注入密码，而非存储在 .env 中
中危 代码执行
vm_guest_exec 执行无限制命令
capabilities.md:63 明确说明 vm_guest_exec 可以运行任意命令（包括 `rm -rf /`），这是一个文档已声明的高风险功能。Guest 凭证是独立的授权边界，read-only vCenter 角色无法限制。
references/capabilities.md:63 vm_guest_exec 应仅在必要时使用，使用 least-privilege guest 账户
低危 权限提升
MCP 写工具无确认机制
43 个写工具中，36 个首次调用即执行，无 dry-run。文档已明确声明这是设计决策（D-2），依赖 vCenter RBAC 作为防护边界。
references/capabilities.md:37 使用 least-privilege vCenter 服务账户，确保该账户只能执行允许的操作
低危 文档欺骗
IOC 标记说明
预扫描标记的 `rm -rf /` IOC 实为文档示例，用于说明 vm_guest_exec 的潜在危害范围。这是正当的文档行为，非实际恶意代码。
references/capabilities.md:63 此 IOC 可忽略，是文档中说明风险的示例命令
声明能力 vs 实际能力
文件系统 通过
声明 WRITE
→ 推断 WRITE
SKILL.md allowed-tools 网络访问 通过
声明 WRITE
→ 推断 WRITE
vCenter/ESXi API via pyVmomi 命令执行 通过
声明 WRITE
→ 推断 WRITE
vm_guest_exec runs arbitrary commands in guest VMs 环境变量 通过
声明 READ
→ 推断 READ
VMWARE_*_PASSWORD env var loading 可疑产物与外联
严重 危险命令
rm -rf / references/capabilities.md:63
依赖与供应链
没有结构化依赖告警。
文件构成
7 个文件 · 1236 行
Markdown 6 个文件 · 1187 行JSON 1 个文件 · 49 行
需关注文件 · 2
references/capabilities.md vm_guest_exec 执行无限制命令 · MCP 写工具无确认机制 · IOC 标记说明 · rm -rf /
references/setup-guide.md 密码 Base64 混淆非加密
其他文件 · SKILL.md · agent-guardrails.md · investigation-protocol.md · cli-reference.md · evals.json
安全亮点
文档详尽，明确说明了所有高风险操作的潜在危害
审计机制完善（~/.vmware/audit.db 记录所有 MCP 调用）
可选的 policy deny rules 提供额外防护
prompt injection 保护：vSphere 内容经过边界标记处理
TLS 验证默认启用
代码完全开源（MIT），可审计
安全默认值（webhook 禁用、环境标签支持、凭证分离）