Skill Trust Decision

ct-advisor

Name: ct-advisor Trust Review Report
Item: ct-advisor
Rating: 58
Author: ClawSafe

ct-advisor技能将用户问题转发至外部Coze服务器进行AI精校，附带机器指纹标识；凭据采用XOR+base64混淆内嵌（已知非加密），存在凭证外泄与数据外传风险，但属合法临床试验咨询工具且有授权闸门保护。

Install decision first Source: ClawHub Scanned: 19 days ago

Files 78

Artifacts 50

Violations 1

Findings 6

Most direct threat evidence

Why this conclusion was reached

1/4 dimensions flagged

Block

Declared vs actual capability

1 undeclared or violating capabilities were inferred.

Review

Hidden execution and egress

50 lower-risk artifacts were extracted and still need context.

Pass

Attack chain and severe findings

There is no explicit malicious chain in the report.

Pass

Dependencies and supply chain hygiene

Dependencies are present but no obvious high-risk issue stands out.

What drove the risk score up

用户问题数据外传至Coze服务器 +20

original_question/draft_answer/query_meta随每次请求发送至ct-advisor.coze.site，数据面含临床问题内容

机器指纹标识（sha256@hostname）随请求发送 +8

compute_machine_id()生成的标识可跨请求关联同一设备，外部服务可建立设备画像

XOR+base64混淆凭据内嵌于源码 +8

adapters/coze_token_embedded.py和bug_report.py含内嵌凭据，文档明确说明非加密（仅防目录浏览）；混淆密钥同源码发布

内嵌凭据若被逆向还原可劫持精校服务 +6

OBFUSCATION_KEY='ct-advisor-coze-obf-v1-3d9b'硬编码于源码，持源码者可还原token

Most important evidence

Medium Data Exfil

用户问题数据外传至外部Coze服务器

每次精校请求将original_question（用户原始问题）、draft_answer（本地草稿）、query_meta（含难度/类别/accuracy/query_origin机器指纹）发送至https://ct-advisor.coze.site/run。sanitize()模块尝试脱敏PII（身份证/手机/邮箱），但不处理临床问题内容本身——如用户输入受试者编号/药物名称/试验分期等敏感临床信息，理论上会被发送至外部服务器。

adapters/refiner.py:512

在SKILL.md明确告知用户哪些数据会外传；考虑在PII脱敏基础上增加临床敏感字段过滤（如受试者ID格式、试验编号格式等）

Medium Credential Theft

XOR+base64混淆凭据内嵌于源码

adapters/coze_token_embedded.py（L35-58）和adapters/bug_report.py（L69-84）内嵌EMBEDDED_SECRETS字典，包含XOR+base64混淆的Coze API token。文档明确说明'这是OBFUSCATION，NOT real encryption'，混淆密钥OBFUSCATION_KEY='ct-advisor-coze-obf-v1-3d9b'硬编码于同一文件。任何持技能源码者均可还原token，劫持精校服务或冒充bugreport端点。

adapters/coze_token_embedded.py:31

文档已明确标注'公共凭据'、'用户授权发布'，但混淆方式极弱。建议将内嵌凭据改为纯环境变量注入，完全移除源码中的token blob

Medium Sensitive Access

机器指纹标识跨请求关联

compute_machine_id()（refiner.py:118）生成sha256(hostname)作为query_origin，随每次请求发送至Coze服务端。虽然不含明文主机名/IP，但同一设备生成的稳定标识允许外部服务跨请求关联行为模式。文档在AGENTS.md§4.1承认此风险并披露。

adapters/refiner.py:118

文档已披露此权衡。若需完全消除设备关联，应改用每请求随机值（CHANGELOG 0.9.52曾改随机后回退）

Low Doc Mismatch

SKILL.md声明'shell:NONE'但实际使用subprocess执行兄弟技能

SKILL.md permissions声明filesystem:Read-only, network:controlled-coze-opt-in, 但未声明shell权限。代码中refine_answer.py:202和handle_need_tool.py:178通过subprocess.run()执行handle_need_tool.py和兄弟技能CLI，构成shell:WRITE能力但未在permissions中声明。

scripts/refine_answer.py:202

在SKILL.md permissions中补充shell:WRITE声明（用于执行兄弟技能CLI），或在allowed-tools映射中明确Read/Write/Bash的权限边界

Low Supply Chain

requests依赖无版本锁定

_ensure_requests()要求用户手动pip install requests==2.32.3，但未锁定版本号。若安装其他版本存在兼容/安全风险。

adapters/refiner.py:37

考虑在技能目录添加requirements.txt锁定requests==2.32.3

Info Obfuscation

base64/b64decode用于CLI payload传输（非恶意用法）

run_refined.py使用base64编码避免Windows heredoc中文JSON编码问题，refine_answer.py用sha256生成校验和——均为合法技术用途，不构成恶意混淆

scripts/run_refined.py:102

无需处置

Declared capability vs actual capability

Network Pass

Declared controlled-coze-opt-in

→

Inferred WRITE

config.json:auto_approve_endpoints含两个预置端点，SKILL.md声明controlled-coze-opt-in

Filesystem Pass

Declared Read-only

→

Inferred WRITE

coze_token_embedded.py:store_token()写入~/.workbuddy/skills/ct-advisor/config/coze.dat（可选覆盖），run_refined.py读取config.json

Shell Block

Declared NONE

→

Inferred WRITE

refine_answer.py:202调用subprocess.run执行handle_need_tool.py；handle_need_tool.py:178构造CLI命令执行兄弟技能

Environment Pass

Declared NONE

→

Inferred READ

coze_token_embedded.py:get_secret()读取CT_ADVISOR_COZE_TOKEN环境变量；compute_machine_id()读取socket.gethostname()

Skill Invoke Pass

Declared sibling-skills

→

Inferred WRITE

handle_need_tool.py通过subprocess执行ct-registry/ct-safety/ct-literature/ct-samplesize等兄弟技能

Suspicious artifacts and egress

Medium External URL

https://ct-bugreport.coze.site/run

AGENTS.md:62

Medium External URL

http://127.0.0.1:10808/

CHANGELOG.md:182

Medium External URL

https://ct-advisor.coze.site/run

CHANGELOG.md:264

Medium External URL

https://api.coze.cn/v1/chat

adapters/backend.py:77

Medium External URL

https://clawhub.ai/medstatstar/skills/ct-advisor/security-audit（当前发行版审计页）

docs/clawhub_audit_trace_20260815.md:4

Medium External URL

https://ct-advisor.coze.site/run**」（L15/L177），

docs/clawhub_audit_trace_20260815.md:39

Medium External URL

https://www.ich.org/

knowledge/ref-interaction-style.md:79

Medium External URL

https://www.ich.org/page/search-index-ich-guidelines

knowledge/ref-interaction-style.md:79

Medium External URL

https://www.nmpa.gov.cn/

knowledge/ref-interaction-style.md:79

Medium External URL

https://www.cde.org.cn/

knowledge/ref-interaction-style.md:79

Medium External URL

https://www.ich.org

knowledge/ref-reg-gcp-version.md:6

Medium External URL

https://www.nmpa.gov.cn

knowledge/ref-reg-gcp-version.md:7

Dependencies and supply chain

Package	Version	Source	Known vuln	Notes
requests	`2.32.3`	pip	No	推荐版本已指定但未在requirements.txt中锁定

File composition

78 files · 18349 lines

Python 37 files · 8912 linesJSON 9 files · 5484 linesMarkdown 30 files · 3932 linesOther 1 files · 21 lines

Files of concern · 5

adapters/coze_token_embedded.py Python · 140 lines

XOR+base64混淆凭据内嵌于源码

config.json JSON · 32 lines

CHANGELOG.md Markdown · 366 lines

http://127.0.0.1:10808/ · https://ct-advisor.coze.site/run

adapters/refiner.py Python · 599 lines

用户问题数据外传至外部Coze服务器 · 机器指纹标识跨请求关联 · requests依赖无版本锁定

scripts/refine_answer.py Python · 588 lines

SKILL.md声明'shell:NONE'但实际使用subprocess执行兄弟技能

Other files · i18n_messages.json · ref-ops-gcp-site.md · ref-reg-submission.md · system_prompt.md · ref-ops-data.md · kw_localize.py +1

78 files · 1.1 MB · 18349 lines

Python 37f · 8912LJSON 9f · 5484LMarkdown 30f · 3932LOther 1f · 21L

├─ ▾ 📁 adapters

│ ├─ 🐍 __init__.py Python 105L · 4.3 KB

│ ├─ 🐍 backend.py Python 90L · 3.5 KB

│ ├─ 🐍 bug_report.py Python 393L · 21.5 KB

│ ├─ 🔑 coze_token_embedded.py ⚠ Python 140L · 6.4 KB

│ ├─ 🐍 data_context.py Python 73L · 2.5 KB

│ ├─ 🐍 http_probe.py Python 33L · 1.4 KB

│ ├─ 🐍 qa_store.py Python 69L · 2.4 KB

│ ├─ 🐍 refiner.py Python 599L · 33.2 KB

│ └─ 🐍 sanitize.py Python 56L · 2.1 KB

├─ ▾ 📁 assets

│ └─ 📦 icon.svg 2.9 KB

├─ ▾ 📁 docs

│ └─ 📝 clawhub_audit_trace_20260815.md Markdown 80L · 6.9 KB

├─ ▾ 📁 knowledge

│ ├─ 📝 methodology_core.md Markdown 182L · 17.1 KB

│ ├─ 📝 prompts.md Markdown 189L · 19.3 KB

│ ├─ 📝 ref-gcp-13-principles.md Markdown 43L · 4.4 KB

│ ├─ 📝 ref-interaction-style.md Markdown 95L · 10.3 KB

│ ├─ 📝 ref-ops-contract.md Markdown 2L · 158 B

│ ├─ 📝 ref-ops-data.md Markdown 138L · 36.3 KB

│ ├─ 📝 ref-ops-design.md Markdown 106L · 23.6 KB

│ ├─ 📝 ref-ops-execution.md Markdown 126L · 20.6 KB

│ ├─ 📝 ref-ops-gcp-site.md Markdown 167L · 42.2 KB

│ ├─ 📝 ref-ops-safety.md Markdown 96L · 22.0 KB

│ ├─ 📝 ref-reg-cn.md Markdown 125L · 24.8 KB

│ ├─ 📝 ref-reg-contract.md Markdown 2L · 158 B

│ ├─ 📝 ref-reg-gcp-version.md Markdown 25L · 2.0 KB

│ ├─ 📝 ref-reg-retrieval.md Markdown 1L · 67 B

│ ├─ 📝 ref-reg-safety.md Markdown 64L · 14.3 KB

│ ├─ 📝 ref-reg-stats.md Markdown 72L · 17.0 KB

│ ├─ 📝 ref-reg-submission.md Markdown 165L · 37.2 KB

│ ├─ 📝 ref-regulatory-versions.md Markdown 93L · 7.7 KB

│ ├─ 📝 reference-index.md Markdown 78L · 8.6 KB

│ ├─ 📝 system_prompt.md Markdown 298L · 36.6 KB

│ └─ 📋 term_aliases.json JSON 1149L · 17.9 KB

├─ ▾ 📁 references

│ ├─ 📋 drug_name_map.json JSON 616L · 21.8 KB

│ ├─ 📝 search-sites.md Markdown 187L · 9.1 KB

│ ├─ 📝 steps.md Markdown 269L · 23.2 KB

│ ├─ 📋 term_map.json JSON 254L · 8.7 KB

│ ├─ 📝 tone_writing.md Markdown 77L · 4.3 KB

│ └─ 📝 units.md Markdown 140L · 8.3 KB

├─ ▾ 📁 scripts

│ ├─ 🐍 check_coze.py Python 117L · 4.8 KB

│ ├─ 🐍 check_deps.py Python 150L · 6.4 KB

│ ├─ 🐍 clarify_loop.py Python 437L · 19.4 KB

│ ├─ 🐍 context_stitch.py Python 166L · 6.6 KB

│ ├─ 🐍 drug_name_resolver.py Python 150L · 4.9 KB

│ ├─ 🐍 excel_style.py Python 414L · 23.2 KB

│ ├─ 🐍 gcp_audit.py Python 326L · 10.4 KB

│ ├─ 🐍 generate_term_aliases.py Python 285L · 11.1 KB

│ ├─ 🐍 handle_need_tool.py Python 236L · 8.3 KB

│ ├─ 🐍 i18n.py Python 165L · 6.3 KB

│ ├─ 📋 i18n_messages.json JSON 1410L · 43.2 KB

│ ├─ 🐍 keyword_breadth.py Python 213L · 9.3 KB

│ ├─ 📋 kw_lexicon.json JSON 1322L · 25.0 KB

│ ├─ 🐍 kw_localize.py Python 737L · 29.3 KB

│ ├─ 🐍 landscape_scorer.py Python 404L · 13.5 KB

│ ├─ 🐍 memory_manager.py Python 265L · 9.6 KB

│ ├─ 📋 menu.json JSON 366L · 8.3 KB

│ ├─ 🐍 menu.py Python 239L · 9.1 KB

│ ├─ 🐍 office_to_md.py Python 217L · 7.2 KB

│ ├─ 🐍 orchestrate.py Python 438L · 20.6 KB

│ ├─ 🐍 r_libs.py Python 129L · 5.2 KB

│ ├─ 🐍 refine_answer.py Python 588L · 29.9 KB

│ ├─ 🐍 route.py Python 346L · 17.6 KB

│ ├─ 🐍 route_tool.py Python 369L · 20.0 KB

│ ├─ 🐍 run_refined.py Python 129L · 4.2 KB

│ ├─ 🐍 search_refs.py Python 140L · 5.5 KB

│ ├─ 🐍 source_guard.py Python 136L · 5.6 KB

│ ├─ 🐍 switch_lang.py Python 60L · 2.0 KB

│ ├─ 🐍 sync_i18n_from_ctbase.py Python 46L · 1.5 KB

│ ├─ 🐍 tone_matcher.py Python 364L · 15.0 KB

│ ├─ 📋 tool_mapping.json JSON 92L · 5.5 KB

│ ├─ 🐍 update_reference_index.py Python 88L · 3.4 KB

│ └─ 📋 workflows.json JSON 243L · 8.5 KB

├─ 📝 AGENTS.md Markdown 102L · 8.7 KB

├─ 📝 CHANGELOG.md Markdown 366L · 66.4 KB

├─ 📄 LICENSE 21L · 1.1 KB

├─ 📝 README.md Markdown 198L · 26.9 KB

├─ 📝 README_zh-CN.md Markdown 248L · 23.9 KB

├─ 📝 SKILL.md Markdown 198L · 26.9 KB

└─ 🔑 config.json ⚠ JSON 32L · 801 B

Security positives

PII脱敏机制完整（sanitize.py覆盖身份证/手机/邮箱/敏感关键字）

出站授权闸门实现良好（_check_outbound_authorization三阶段确认，非白名单首次出站需用户确认）

auto_approve_endpoints预置两个合法端点，授权流程透明

内嵌凭据明确标注为'公共凭据'、'用户授权发布'、'非加密混淆'，无欺骗意图

AGENTS.md完整披露出站数据范围和机器指纹风险

代码决策架构清晰（route.py确定性难度分类，orchestrate.py代码编排），无LLM越权风险

所有subprocess调用路径可控（仅执行handle_need_tool.py和兄弟技能CLI，无动态命令注入）