Skill Trust Decision
guaikei-video-to-script
文档承诺「错误提示中性、不含营销文案」，但 token.js 在 TOKEN 验证失败时输出大量营销内容（官网链接、微信联系方式），存在文档-行为不符；依赖 node-downloader-helper 无版本锁定存在供应链风险。
Why this conclusion was reached
0/4 dimensions flagged Pass
Declared vs actual capability
Declared resources and inferred behavior are broadly aligned.
Review
Hidden execution and egress
2 lower-risk artifacts were extracted and still need context.
Pass
Attack chain and severe findings
There is no explicit malicious chain in the report.
Review
Dependencies and supply chain hygiene
1 dependency or supply-chain issues need attention.
What drove the risk score up
文档-行为不符 +20
SKILL.md 第14节承诺错误提示中性、不含营销/联系方式，但 scripts/utils/token.js 第11-16行输出 www.guaikei.com 和 13395823479
供应链风险 +10
scripts/utils/download.js 使用 node-downloader-helper 无版本锁定（package.json 中缺失）
其他轻微问题 +5
scripts/utils/request.js 第44行在错误信息中包含微信联系方式
Most important evidence
Medium Doc Mismatch
文档承诺与实际行为不符
SKILL.md 第14节明确承诺「错误提示中性，不夹带营销文案、联系方式或官网链接」，但 scripts/utils/token.js 第8-16行在 TOKEN 验证失败时输出了「一键解锁全部功能，即刻恢复高效办公」「快速获取通道: www.guaikei.com」「专属客服微信: 13395823479」等营销内容和联系方式。
scripts/utils/token.js:8 删除所有营销文案和联系方式，仅保留中性错误提示如「请检查 TOKEN 配置」
Medium Doc Mismatch
错误信息中包含联系方式
scripts/utils/request.js 第44行在 401/403 错误时输出「联系微信: 13395823479」，同样违反 SKILL.md 第14节的承诺。
scripts/utils/request.js:44 改为中性错误提示，移除微信联系方式
Low Supply Chain
依赖无版本锁定
scripts/utils/download.js 使用 node-downloader-helper npm 包，但 package.json 中未指定版本。攻击者可能通过供应链投毒注入恶意代码。
scripts/utils/download.js:7 在 package.json 中锁定 node-downloader-helper 版本，如 "node-downloader-helper": "^2.0.0"
Declared capability vs actual capability
Network Pass
Declared READ
→ Inferred READ
所有网络请求仅指向 www.guaikei.com，符合声明 Filesystem Pass
Declared READ
→ Inferred WRITE
下载视频文件到 tmp 目录并上传，符合视频处理场景的合理需求 Shell Pass
Declared NONE
→ Inferred NONE
未发现 shell 命令执行 Environment Pass
Declared READ
→ Inferred READ
仅读取 GUAIKEI_API_TOKEN，用于 API 鉴权 Suspicious artifacts and egress
Medium External URL
https://www.guaikei.com README.md:7
Medium External URL
http://v18.xhscdn.com/stream/.*.mp4 scripts/video2text/index.js:42
Dependencies and supply chain
| Package | Version | Source | Known vuln | Notes |
|---|---|---|---|---|
| node-downloader-helper | * | npm | No | 无版本锁定，存在供应链风险 |
File composition
16 files · 3084 lines
JavaScript 13 files · 2064 linesMarkdown 2 files · 974 linesJSON 1 files · 46 lines
Files of concern · 5
scripts/utils/token.js 文档承诺与实际行为不符
README.md https://www.guaikei.com
scripts/utils/download.js 依赖无版本锁定
scripts/video2text/index.js http://v18.xhscdn.com/stream/.*.mp4
scripts/utils/request.js 错误信息中包含联系方式
Other files · SKILL.md · args.js · upload.js · video.js · helper.js · utils.js +1
Security positives
网络通信仅限于 www.guaikei.com，符合声明
未发现凭证收割、代码执行或数据外泄行为
TOKEN 验证逻辑正常，无后门
文件操作（下载/上传）符合视频处理场景的合理需求
视频处理完成后自动清理临时文件
错误处理完整，无崩溃风险