中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：2 天前 重新扫描
5 /100
capability-evolver-zc
A self-evolution engine for AI agents. Analyzes runtime history to identify improvements and applies protocol-constrained evolution.
功能完整的 AI Agent 自演化引擎，具有完善的安全机制。测试文件中的凭证字符串和危险命令均为测试数据用于验证脱敏和过滤功能，非真实凭证泄露。
技能名称capability-evolver-zc
分析耗时71.5s
引擎pi
✓
可以安装
安全可用。测试文件中的硬编码凭证（sk-xxx、ghp_xxx 等）和危险命令（rm -rf /）均为测试用例，用于验证 sanitizePayload 和 validateSynthesizedGene 函数的正确性。建议在生产环境中运行测试以确保安全机制有效。

安全发现 4 项

严重性 安全发现 位置
提示
测试文件中的凭证字符串为测试数据
test/sanitize.test.js 中的 sk-abcdefghijklmnopqrstuvwxyz、ghp_xxx、AKIAIOSFODNN7EXAMPLE 等字符串是用于测试 sanitizePayload 函数的脱敏功能
assert.strictEqual(redactString('sk-abcdefghijklmnopqrstuvwxyz'), REDACTED);
→ 无需修复 - 这些是测试用例的一部分
 test/sanitize.test.js:10
提示
测试文件中的危险命令用于验证过滤
test/skillDistiller.test.js 第210行包含 rm -rf /，用于测试 validateSynthesizedGene 函数能正确过滤危险验证命令
validation: ['node test.js', 'rm -rf /', 'echo $(whoami)', 'npm test']
→ 无需修复 - 测试验证危险命令被正确过滤
 test/skillDistiller.test.js:210
低危
访问敏感目录 ~/.ssh 用于节点标识
src/gep/envFingerprint.js 和 deviceId.js 收集系统信息用于设备指纹，不包含凭证外传
收集 MAC 地址、机器 ID 用于设备标识
→ 确认 - 仅用于本地设备标识，未外传
 src/gep/deviceId.js:1
提示
自我修改能力默认禁用
EVOLVE_ALLOW_SELF_MODIFY 默认为 false，SKILL.md 明确警告生产环境不建议启用
EVOLVE_ALLOW_SELF_MODIFY | false | Allow evolution to modify evolver's own source code. NOT recommended for production.
→ 良好实践 - 危险的自我修改功能默认禁用
 SKILL.md:38
资源类型声明权限推断权限状态证据
文件系统 WRITE WRITE ✓ 一致 SKILL.md:18 node index.js 执行演化写入结果
网络访问 READ READ ✓ 一致 src/gep/hubSearch.js HTTP 连接 Hub API
命令执行 WRITE WRITE ✓ 一致 index.js:207 execSync('git diff/stash/restore')
环境变量 READ READ ✓ 一致 src/gep/envFingerprint.js 读取环境配置
5 严重 14 项发现
🔑
严重 API 密钥 硬编码 API 密钥
sk-abcdefghijklmnopqrstuvwxyz
test/sanitize.test.js:10
🔑
严重 API 密钥 硬编码 API 密钥
ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
test/sanitize.test.js:19
🔑
严重 API 密钥 硬编码 API 密钥
gho_abcdefghijklmnopqrstuvwxyz1234567890
test/sanitize.test.js:21
🔑
严重 API 密钥 硬编码 API 密钥
AKIAIOSFODNN7EXAMPLE
test/sanitize.test.js:29
💀
严重 危险命令 危险 Shell 命令
rm -rf /
test/skillDistiller.test.js:210
🔗
中危 外部 URL 外部 URL
https://evomap.ai
README.md:5
🔗
中危 外部 URL 外部 URL
https://evomap.ai/wiki
README.md:5
🔗
中危 外部 URL 外部 URL
https://api.star-history.com/svg?repos=autogame-17/evolver&type=Date
README.md:255
🔗
中危 外部 URL 外部 URL
https://star-history.com/#autogame-17/evolver&Date
README.md:255
🔗
中危 外部 URL 外部 URL
https://mowen.cn
README.md:270
🔗
中危 外部 URL 外部 URL
https://evomap.ai/claim/
SKILL.md:45
🔗
中危 外部 URL 外部 URL
https://www.clawhub.ai
scripts/publish_public.js:410
📧
提示 邮箱 邮箱地址
[email protected]
test/sanitize.test.js:57
📧
提示 邮箱 邮箱地址
[email protected]
test/sanitize.test.js:74

目录结构

76 文件 · 601.1 KB · 16419 行
JavaScript 68f · 15543L Markdown 4f · 655L JSON 4f · 221L
├─ ▾ 📁 assets
│ └─ ▾ 📁 gep
│ ├─ 📋 capsules.json JSON 79L · 2.8 KB
│ └─ 📋 genes.json JSON 108L · 3.5 KB
├─ ▾ 📁 scripts
│ ├─ 📜 a2a_export.js JavaScript 63L · 2.3 KB
│ ├─ 📜 a2a_ingest.js JavaScript 79L · 2.6 KB
│ ├─ 📜 a2a_promote.js JavaScript 118L · 4.7 KB
│ ├─ 📜 analyze_by_skill.js JavaScript 121L · 4.7 KB
│ ├─ 📜 build_public.js JavaScript 355L · 10.6 KB
│ ├─ 📜 extract_log.js JavaScript 85L · 2.5 KB
│ ├─ 📜 generate_history.js JavaScript 75L · 2.5 KB
│ ├─ 📜 gep_append_event.js JavaScript 96L · 3.0 KB
│ ├─ 📜 gep_personality_report.js JavaScript 234L · 7.7 KB
│ ├─ 📜 human_report.js JavaScript 147L · 5.7 KB
│ ├─ 📜 publish_public.js JavaScript 614L · 19.9 KB
│ ├─ 📜 recover_loop.js JavaScript 61L · 1.7 KB
│ ├─ 📜 suggest_version.js JavaScript 89L · 3.0 KB
│ └─ 📜 validate-modules.js JavaScript 8L · 437 B
├─ ▾ 📁 src
│ ├─ ▾ 📁 gep
│ │ ├─ 📜 a2a.js JavaScript 173L · 6.3 KB
│ │ ├─ 📜 a2aProtocol.js JavaScript 672L · 20.9 KB
│ │ ├─ 📜 analyzer.js JavaScript 35L · 988 B
│ │ ├─ 📜 assetCallLog.js JavaScript 130L · 3.4 KB
│ │ ├─ 📜 assets.js JavaScript 36L · 1.1 KB
│ │ ├─ 📜 assetStore.js JavaScript 297L · 11.3 KB
│ │ ├─ 📜 bridge.js JavaScript 71L · 2.0 KB
│ │ ├─ 📜 candidates.js JavaScript 142L · 5.0 KB
│ │ ├─ 📜 contentHash.js JavaScript 65L · 2.1 KB
│ │ ├─ 📜 deviceId.js JavaScript 209L · 6.6 KB
│ │ ├─ 📜 envFingerprint.js JavaScript 68L · 2.3 KB
│ │ ├─ 📜 hubReview.js JavaScript 206L · 6.4 KB
│ │ ├─ 📜 hubSearch.js JavaScript 237L · 7.7 KB
│ │ ├─ 📜 issueReporter.js JavaScript 262L · 8.8 KB
│ │ ├─ 📜 llmReview.js JavaScript 92L · 3.1 KB
│ │ ├─ 📜 memoryGraph.js JavaScript 771L · 26.9 KB
│ │ ├─ 📜 memoryGraphAdapter.js JavaScript 203L · 7.0 KB
│ │ ├─ 📜 mutation.js JavaScript 186L · 6.7 KB
│ │ ├─ 📜 narrativeMemory.js JavaScript 108L · 3.7 KB
│ │ ├─ 📜 paths.js JavaScript 108L · 3.0 KB
│ │ ├─ 📜 personality.js JavaScript 355L · 13.2 KB
│ │ ├─ 📜 prompt.js JavaScript 566L · 22.6 KB
│ │ ├─ 📜 questionGenerator.js JavaScript 212L · 8.5 KB
│ │ ├─ 📜 reflection.js JavaScript 127L · 4.2 KB
│ │ ├─ 📜 sanitize.js JavaScript 67L · 2.2 KB
│ │ ├─ 📜 selector.js JavaScript 250L · 9.2 KB
│ │ ├─ 📜 signals.js JavaScript 417L · 19.5 KB
│ │ ├─ 📜 skillDistiller.js JavaScript 499L · 19.5 KB
│ │ ├─ 📜 solidify.js JavaScript 1651L · 69.1 KB
│ │ ├─ 📜 strategy.js JavaScript 126L · 4.4 KB
│ │ ├─ 📜 taskReceiver.js JavaScript 432L · 14.0 KB
│ │ └─ 📜 validationReport.js JavaScript 55L · 2.1 KB
│ ├─ ▾ 📁 ops
│ │ ├─ 📜 cleanup.js JavaScript 80L · 2.5 KB
│ │ ├─ 📜 commentary.js JavaScript 60L · 1.7 KB
│ │ ├─ 📜 health_check.js JavaScript 106L · 4.0 KB
│ │ ├─ 📜 index.js JavaScript 11L · 376 B
│ │ ├─ 📜 innovation.js JavaScript 67L · 3.1 KB
│ │ ├─ 📜 lifecycle.js JavaScript 168L · 6.2 KB
│ │ ├─ 📜 self_repair.js JavaScript 72L · 2.5 KB
│ │ ├─ 📜 skills_monitor.js JavaScript 143L · 5.3 KB
│ │ └─ 📜 trigger.js JavaScript 33L · 837 B
│ ├─ 📜 canary.js JavaScript 13L · 486 B
│ └─ 📜 evolve.js JavaScript 1676L · 64.0 KB
├─ ▾ 📁 test
│ ├─ 📜 a2aProtocol.test.js JavaScript 134L · 4.4 KB
│ ├─ 📜 contentHash.test.js JavaScript 106L · 3.5 KB
│ ├─ 📜 envFingerprint.test.js JavaScript 89L · 3.0 KB
│ ├─ 📜 mutation.test.js JavaScript 142L · 4.6 KB
│ ├─ 📜 sanitize.test.js JavaScript 90L · 3.9 KB
│ ├─ 📜 selector.test.js JavaScript 124L · 4.1 KB
│ ├─ 📜 signals.test.js JavaScript 217L · 9.9 KB
│ ├─ 📜 skillDistiller.test.js JavaScript 486L · 16.9 KB
│ ├─ 📜 strategy.test.js JavaScript 133L · 4.8 KB
│ └─ 📜 validationReport.test.js JavaScript 148L · 4.8 KB
├─ 📋 _meta.json JSON 5L · 141 B
├─ 📝 CONTRIBUTING.md Markdown 11L · 327 B
├─ 📜 index.js JavaScript 472L · 19.1 KB
├─ 📋 package.json JSON 29L · 784 B
├─ 📝 README.md Markdown 276L · 12.0 KB
├─ 📝 README.zh-CN.md Markdown 236L · 11.3 KB
└─ 📝 SKILL.md Markdown 132L · 5.3 KB

依赖分析 1 项

包名版本来源已知漏洞备注
dotenv ^16.4.7 npm 否 轻量级环境变量加载

安全亮点

✓ 敏感信息脱敏机制完善 - sanitize.js 提供 16 种凭证模式匹配
✓ 关键路径保护 - solidify.js 的 CRITICAL_PROTECTED_PREFIXES 保护核心技能
✓ 沙箱验证 - runCanaryCheck() 在提交前验证 index.js 可加载
✓ 伦理检查 - 检测绕过安全机制、隐藏行为、监控工具等策略
✓ 验证命令过滤 - validateSynthesizedGene 只允许 node/npm/npx 前缀命令
✓ Git 依赖检查 - 确保演化依赖 git 进行回滚
✓ 会话隔离 - 支持 EVOLVER_SESSION_SCOPE 防止跨会话污染
✓ 自动更新安全 - clawhub update 仅在 CLI 可用时执行