中风险
缺少安全前置文件时会执行生成器并在本地创建文件
原文依据:1 处发现了什么
技能明确要求在共享技能文件缺失时运行 `gws generate-skills`。提供的材料没有说明生成器会写入哪些路径、是否覆盖现有文件,或生成内容是否会引入新的指令。
为什么需要注意
执行后可能在本地持久创建或更新技能文件,并使后续代理遵循本次审计范围之外的认证与安全指令。现有文件是否会被覆盖无法从材料判断。
这是生效中的条件指令:当共享前置文件缺失时,技能要求运行生成命令来“创建它”。因此,使用该技能可能在本地写入文件;但现有来源没有说明具体写入路径、是否会覆盖文件或生成内容,因此不能据此断言发生了覆盖或引入恶意指令。用户可要求作者列明生成文件及覆盖策略,并在只读环境中先检查命令行为。
> **PREREQUISITE:** Read `../gws-shared/SKILL.md` for auth, global flags, and security rules. If missing, run `gws generate-skills` to create it.