中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：2 天前 重新扫描
5 /100
mia-trust
MIA-Trust Pipeline - Memory-Intelligent Assistant 信任守门+记忆进化 Pipeline
MIA-Trust 是一个合法的 AI Agent 信任守门+记忆进化 Pipeline，代码结构清晰，功能与文档一致，无恶意行为发现。
技能名称mia-trust
分析耗时30.0s
引擎pi
✓
可以安装
该技能安全可用，可直接部署。

安全发现 1 项

严重性 安全发现 位置
低危
权限声明与实际能力存在轻微偏差
SKILL.md 文档未声明需要 filesystem:WRITE 和 shell:WRITE 权限，但代码实现确实需要这些权限来读写本地 JSONL 文件和调用子进程。
SKILL.md 未声明 filesystem:WRITE 和 shell:WRITE，但代码实现了这些能力
→ 建议在 SKILL.md 的 metadata.requires 部分补充说明需要文件系统写入权限
 SKILL.md:1
资源类型声明权限推断权限状态证据
文件系统 NONE WRITE ✓ 一致 run.mjs:25-26 读写 memory.jsonl 和 feedback.jsonl
网络访问 READ READ ✓ 一致 trust/mia-trust.mjs:4 调用外部 LLM API
命令执行 NONE WRITE ✓ 一致 run.mjs:57-62 execSync 调用 node 子进程
环境变量 NONE READ ✓ 一致 trust/mia-trust.mjs:7-10 读取 MIA_PLANNER_API_KEY 等环境变量
3 项发现
🔗
中危 外部 URL 外部 URL
https://your-api-endpoint/v1/chat/completions
PIPELINE.md:134
🔗
中危 外部 URL 外部 URL
https://paypal.me/jimmywarting
package-lock.json:35
🔗
中危 外部 URL 外部 URL
https://opencollective.com/node-fetch
package-lock.json:94

目录结构

12 文件 · 211.6 KB · 3061 行
JavaScript 6f · 2064L JSON 4f · 721L Markdown 2f · 276L
├─ ▾ 📁 feedback
│ └─ 📜 mia-feedback.mjs JavaScript 95L · 2.4 KB
├─ ▾ 📁 memory
│ └─ 📜 mia-memory.mjs JavaScript 426L · 12.4 KB
├─ ▾ 📁 planner
│ └─ 📜 mia-planner.mjs JavaScript 191L · 6.0 KB
├─ ▾ 📁 trust
│ ├─ 📜 mia-trust.mjs JavaScript 1190L · 47.8 KB
│ └─ 📋 trust_experience.json JSON 579L · 128.2 KB
├─ 📋 _meta.json JSON 5L · 128 B
├─ 📜 _sync_trust_exp.mjs JavaScript 5L · 266 B
├─ 📋 package-lock.json JSON 107L · 3.3 KB
├─ 📋 package.json JSON 30L · 691 B
├─ 📝 PIPELINE.md Markdown 157L · 3.5 KB
├─ 📜 run.mjs JavaScript 157L · 4.2 KB
└─ 📝 SKILL.md Markdown 119L · 2.6 KB

依赖分析 1 项

包名版本来源已知漏洞备注
node-fetch ^3.3.2 npm 否 标准 HTTP 请求库，用途明确

安全亮点

✓ 代码结构清晰，模块化设计良好（trust/planner/memory/feedback 分离）
✓ 文档与实现高度一致，无阴影功能
✓ 包含全面的威胁模式检测（THREAT_PATTERNS high/medium）
✓ 依赖简单（仅 node-fetch），无可疑第三方依赖
✓ 使用结构化 JSON 输出，便于审计
✓ 经验库机制可追溯历史评估结果
✓ 无凭证收割、无数据外传、无隐蔽后门
✓ 支持本地和 API 两种运行模式，灵活适配