Skill Trust Decision
stellar-trails
GitHub PAT 凭证以明文写入 ~/.git-credentials 且可被其他进程读取，同时 skill 声明了自动凭证持久化风险但未在文档中明确说明此行为
Most direct threat evidence
01
用户调用 Skill(stellar-trails) 激活 skill Entry · SKILL.md
02
Block A 检测到 /home/z/my-project/upload/PAT 文件并提取 GitHub token Escalation · SKILL.md
03
调用 GitHub API 验证 token 并获取用户信息 Escalation · SKILL.md
Why this conclusion was reached
2/4 dimensions flagged Block
Declared vs actual capability
3 undeclared or violating capabilities were inferred.
Review
Hidden execution and egress
2 lower-risk artifacts were extracted and still need context.
Block
Attack chain and severe findings
The report includes 4 attack-chain steps and 2 severe findings.
Review
Dependencies and supply chain hygiene
1 dependency or supply-chain issues need attention.
Attack Chain
01
用户调用 Skill(stellar-trails) 激活 skill
Entry · SKILL.md:1
02
Block A 检测到 /home/z/my-project/upload/PAT 文件并提取 GitHub token
Escalation · SKILL.md:198
03
调用 GitHub API 验证 token 并获取用户信息
Escalation · SKILL.md:199
04
token 以明文写入 ~/.git-credentials，任何可访问文件系统的进程可读取
Impact · SKILL.md:204
What drove the risk score up
GitHub PAT 明文持久化 +35
Block A 将 PAT 写入 ~/.git-credentials (chmod 600)，skill-card.md 虽声明风险但 SKILL.md 未明确说明此行为
进程终止权限过宽 +15
kill 命令作用于 PID 而非验证进程身份，可能中断无关服务
0.0.0.0 端口监听 +10
dev.sh 在 0.0.0.0:3000 提供文件服务，无认证机制
自动更新无确认 +12
clawhub update --force 在检测到版本漂移时自动执行，无用户确认
Most important evidence
High Credential Theft
GitHub PAT 明文持久化到文件系统
Block A 检测到 /home/z/my-project/upload/PAT 文件后，提取 token 并以明文形式写入 ~/.git-credentials，权限设为 600。任何有文件系统访问权限的进程均可读取此凭证。
SKILL.md:204 移除 GitHub PAT 自动持久化逻辑，改为通过环境变量传递或使用 git credential helper 而非直接写入文件
High Credential Theft
Git 全局配置被修改
Block A 自动配置全局 git user.email 和 user.name，覆盖用户原有配置，可能影响其他 git 操作的安全性
SKILL.md:201 移除全局 git 配置覆盖，改用 repo 级配置或环境变量 GIT_AUTHOR_NAME 等
Medium Persistence
自动自更新可能在任务执行期间修改 skill
Block A 检测到版本漂移时自动执行 `clawhub update --force`，无需用户确认，可能在用户不知情的情况下替换代码
SKILL.md:237 将强制更新改为提示用户确认，或提供配置选项禁用自动更新
Medium Priv Escalation
进程终止操作缺乏严格验证
dev.sh 和 SKILL.md Block A 通过 PID 文件和 /proc/cmdline 验证进程身份，但仍可能终止非预期进程
dev.sh:88 增加更严格的进程身份验证，考虑使用 cgroup 或容器级别的进程管理
Medium Sensitive Access
持久化日志目录权限过宽
E9 日志写入 /home/user_skills/ (drwxrwxrwx)，任何进程可修改激活日志
SKILL.md:302 使用更严格的目录权限 (750) 或将日志写入用户专属目录
Low Supply Chain
clawhub 作为外部依赖无版本锁定
skill 依赖 clawhub CLI 工具执行检查和更新，但未声明所需版本范围
SKILL.md:229 在 SKILL.md 中声明 clawhub 最低版本要求
Declared capability vs actual capability
Filesystem Block
Declared READ
→ Inferred WRITE
SKILL.md:Block A 写入 ~/.git-credentials, /tmp/st-active, /tmp/st-session-meta Shell Block
Declared NONE
→ Inferred WRITE
SKILL.md:Block A/B 执行 git config, curl, kill, setsid 等命令 Network Block
Declared NONE
→ Inferred READ
SKILL.md:Block A curl github.com API, dev.sh 监听 0.0.0.0:3000 Suspicious artifacts and egress
Medium External URL
https://clawhub.ai/user/hoshiyomix skill-card.md:9
Medium External URL
https://clawhub.ai/hoshiyomix/skills/stellar-trails skill-card.md:43
Dependencies and supply chain
| Package | Version | Source | Known vuln | Notes |
|---|---|---|---|---|
| clawhub | unknown | system binary | No | 外部 CLI 工具，无版本锁定 |
File composition
21 files · 3686 lines
Markdown 17 files · 3098 linesJSON 1 files · 265 linesShell 1 files · 220 linesHTML 1 files · 103 lines
Files of concern · 2
SKILL.md GitHub PAT 明文持久化到文件系统 · Git 全局配置被修改 · 自动自更新可能在任务执行期间修改 skill · 持久化日志目录权限过宽 · clawhub 作为外部依赖无版本锁定
dev.sh 进程终止操作缺乏严格验证
Other files · chibi.svg · error-resolution.md · phases.md · evals.json · zai-sandbox.md · error-patterns.md +4
Security positives
skill-card.md 主动声明了已知风险（GitHub 凭证持久化、自动更新、后台服务），体现了一定的透明度
dev.sh 实现了进程身份验证（检查 /proc/cmdline），防止误杀非目标进程
激活协议包含 5 个强制向量（E7-E11）和代码级验证，减少了纯文本约束被绕过的可能
使用 MIT-0 许可证，条款宽松