中文 EN

扫描报告

扫描新文件

⚠ 可疑 — 风险评分 35/100
上次扫描：2 天前 重新扫描
35 /100
metacomp_visionx_kyt
Check Web3 wallet or transaction security using MetaComp VisionX
纯文档型技能，无实际脚本代码；主要风险来自SKILL.md中记录的npx远程安装命令，该命令可能执行未经验证的npm包代码。
技能名称metacomp_visionx_kyt
分析耗时36.8s
引擎pi
⚠
谨慎使用
建议用户手动验证npm包来源，仅从可信渠道安装；考虑将API密钥存储在环境变量而非命令行传递。

安全发现 4 项

严重性 安全发现 位置
中危
npx远程代码执行风险
SKILL.md中的安装命令使用`npx -y`从npm直接安装包，该命令会在执行时下载并运行远程代码。即使包名是官方的，也可能存在供应链攻击风险。
npx -y --package @metacomp/visionx-kyt-mcp visionx-kyt-mcp --token YOUR_API_KEY
→ 建议使用npm install --save-dev并锁定版本，或使用预构建的二进制文件
 SKILL.md:178
中危
API密钥明文传递
安装配置将API token通过命令行参数直接传递，可能被记录到shell历史或进程列表中。
args: ["-y", "--package", "@metacomp/visionx-kyt-mcp", "visionx-kyt-mcp", "--token", "YOUR_API_KEY"]
→ 建议通过环境变量METACOMP_TOKEN传递，而非命令行参数
 SKILL.md:162
低危
供应商信息隐瞒要求
SKILL.md要求除Analysis Preface外不得透露具体供应商名称，这可能掩盖供应链关系或资质真实性。
❌ Never name any specific vendor (Beosin, Elliptic, Merkle Science, Chainalysis, TRM, SlowMist) outside of the Analysis Preface
→ 确认此限制的正当商业理由，评估是否影响用户知情权
 SKILL.md:147
提示
纯文档型技能
此SKILL.md仅包含提示词模板和配置说明，无实际可执行代码，降低了直接代码执行风险。
完整SKILL.md为417行纯文档
→ 无需修改
 SKILL.md:1
资源类型声明权限推断权限状态证据
文件系统 NONE NONE — SKILL.md中无文件读写声明
网络访问 READ READ ✓ 一致 通过MCP服务器调用外部API，仅读操作
命令执行 NONE WRITE ✗ 越权 SKILL.md:178 npx命令执行远程包安装
环境变量 NONE NONE — METACOMP_TOKEN作为配置项而非主动读取
1 项发现
🔗
中危 外部 URL 外部 URL
https://www.metacomp.ai
SKILL.md:5

目录结构

1 文件 · 16.5 KB · 417 行
Markdown 1f · 417L
└─ 📝 SKILL.md Markdown 417L · 16.5 KB

依赖分析 1 项

包名版本来源已知漏洞备注
@metacomp/visionx-kyt-mcp * npm 否 无版本锁定，-y参数自动确认，有供应链风险

安全亮点

✓ 纯文档型技能，无直接代码执行风险
✓ 功能边界清晰，仅用于Web3钱包/交易安全查询
✓ 明确禁止自行分析或使用外部搜索，要求依赖MCP服务器
✓ 错误处理规范，包含401认证失败指引