跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Gws Meet Skill 安全审计

作者说它能做什么（原文）

Manage Google Meet conferences.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
4
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

会议参与者和内容资源可能包含敏感信息

原文依据：2 处
发现了什么

技能提供对参与者、录制、智能笔记和转写资源的操作入口。这些资源可能揭示人员身份、发言内容和会议讨论。

为什么需要注意

如果请求范围过宽或结果被发送到不适当的会话，机密会议内容和个人信息可能被披露。

该技能明确提供参与者、录制、智能笔记和转写资源的操作入口；调用相应读取方法时，可能向代理暴露身份信息及会议内容。这里没有证明数据会被自动读取或外传，实际范围取决于所选方法和 Google 授权。用户可限制 OAuth 权限，并要求每次读取前明确会议和资源范围。

SKILL.md:26来自说明文档打开原文件
  - `get` — Gets a conference record by conference ID.  - `list` — Lists the conference records. By default, ordered by start time and in descending order.  - `participants` — Operations on the 'participants' resource  - `recordings` — Operations on the 'recordings' resource  - `smartNotes` — Operations on the 'smartNotes' resource  - `transcripts` — Operations on the 'transcripts' resource
查看另外 1 个位置
SKILL.md:28来自说明文档打开原文件
  - `list` — Lists the conference records. By default, ordered by start time and in descending order.  - `participants` — Operations on the 'participants' resource  - `recordings` — Operations on the 'recordings' resource  - `smartNotes` — Operations on the 'smartNotes' resource  - `transcripts` — Operations on the 'transcripts' resource
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。发现 1 项风险
中风险

缺少共享依赖时会生成新的技能文件

原文依据：1 处
发现了什么

先决条件指示代理在 `../gws-shared/SKILL.md` 不存在时运行 `gws generate-skills`。这不是单纯查看帮助，而是可能在相邻位置生成持久文件；所提供源码未展示生成范围或内容。

为什么需要注意

用户的技能目录可能在未单独确认的情况下被修改，后续代理还会把新生成的指令作为认证和安全规则读取。

这是有效的条件指令：共享文件缺失时，代理会运行生成命令，可能在当前技能目录之外创建持久文件。所给源码没有说明生成位置、覆盖行为或生成内容。用户可要求作者公开该命令的写入范围，并限制代理仅在经确认的目录中写入。

SKILL.md:16来自说明文档打开原文件
> **PREREQUISITE:** Read `../gws-shared/SKILL.md` for auth, global flags, and security rules. If missing, run `gws generate-skills` to create it.
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 1 项风险
中风险

创建或修改会议空间会持久改变 Google Meet 账户状态

原文依据：3 处
发现了什么

技能公开了 `spaces.create` 和 `spaces.patch` 写操作，可创建会议空间或修改其详情。源码没有在这些写操作前规定预览或确认步骤。

为什么需要注意

参数或目标选择错误可能产生不需要的会议空间，或改变现有会议设置并影响后续参与者。

`create` 和 `patch` 是明确的持久写操作，可新建会议空间或修改其详情。提供的指令要求先检查方法参数，但没有规定预览变更或取得用户确认，因此误选目标或参数可能改变账户中的会议配置。用户可将写入权限与只读权限分开，并要求执行前展示目标和完整变更。

SKILL.md:35来自说明文档打开原文件
  - `create` — Creates a space.  - `endActiveConference` — Ends an active conference (if there's one). For an example, see [End active conference](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#end-active-conference).  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).  - `patch` — Updates details about a meeting space. For an example, see [Update a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#update-meeting-space).
查看另外 2 个位置
SKILL.md:38来自说明文档打开原文件
  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).  - `patch` — Updates details about a meeting space. For an example, see [Update a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#update-meeting-space).
SKILL.md:42来自说明文档打开原文件
Before calling any API method, inspect it:
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

该技能能够终止正在进行的会议

原文依据：2 处
发现了什么

`spaces.endActiveConference` 会结束活动中的会议。这是影响所有与会者的即时外部操作，而不只是读取会议信息。

为什么需要注意

若目标会议选错或代理未经明确确认执行，会议可能被意外中断，影响沟通或业务活动。

这是明确的外部状态变更能力：调用该方法会结束指定空间中正在进行的会议，影响所有与会者。源码列出能力，但没有要求执行前确认；它也没有证明技能会自行调用。用户可要求在展示目标会议后获得明确确认，并限制代理使用此方法。

SKILL.md:33来自说明文档打开原文件
### spaces  - `create` — Creates a space.  - `endActiveConference` — Ends an active conference (if there's one). For an example, see [End active conference](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#end-active-conference).  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).  - `patch` — Updates details about a meeting space. For an example, see [Update a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#update-meeting-space).
查看另外 1 个位置
SKILL.md:36来自说明文档打开原文件
  - `create` — Creates a space.  - `endActiveConference` — Ends an active conference (if there's one). For an example, see [End active conference](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#end-active-conference).  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).

Skill 逻辑拆解

2 个说明模块

该技能是 Google Meet 的 `gws` 命令参考，要求环境中存在 `gws` 可执行文件。

查看原文
SKILL.md:8来自说明文档打开原文件
    category: "productivity"    requires:      bins:        - gws    cliHelp: "gws meet --help"---
SKILL.md:18来自说明文档打开原文件
```bashgws meet <resource> <method> [flags]```

技能要求代理在每次 API 调用前查询命令架构，并根据返回内容构造参数。

查看原文
SKILL.md:42来自说明文档打开原文件
Before calling any API method, inspect it:```bash# Browse resources and methodsgws meet --help# Inspect a method's required params, types, and defaultsgws schema meet.<resource>.<method>```Use `gws schema` output to build your `--params` and `--json` flags.

公开的操作范围包括读取会议记录及其参与者、录制、智能笔记和转写内容。

查看原文
SKILL.md:24来自说明文档打开原文件
### conferenceRecords  - `get` — Gets a conference record by conference ID.  - `list` — Lists the conference records. By default, ordered by start time and in descending order.  - `participants` — Operations on the 'participants' resource  - `recordings` — Operations on the 'recordings' resource  - `smartNotes` — Operations on the 'smartNotes' resource  - `transcripts` — Operations on the 'transcripts' resource
从这里开始 · 工作说明SKILL.md
gws-meet
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

运行命令
SKILL.md:18来自说明文档打开原文件
```bashgws meet <resource> <method> [flags]
SKILL.md:44来自说明文档打开原文件
```bash# Browse resources and methods
连接外部网站
SKILL.md:36来自说明文档打开原文件
  - `create` — Creates a space.  - `endActiveConference` — Ends an active conference (if there's one). For an example, see [End active conference](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#end-active-conference).  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).
SKILL.md:37来自说明文档打开原文件
  - `endActiveConference` — Ends an active conference (if there's one). For an example, see [End active conference](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#end-active-conference).  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).  - `patch` — Updates details about a meeting space. For an example, see [Update a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#update-meeting-space).
SKILL.md:38来自说明文档打开原文件
  - `get` — Gets details about a meeting space. For an example, see [Get a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#get-meeting-space).  - `patch` — Updates details about a meeting space. For an example, see [Update a meeting space](https://developers.google.com/workspace/meet/api/guides/meeting-spaces#update-meeting-space).
读取了多少行
54
文件校验值（用于核对版本）
ac88b8d879a0a35e73b176522011117e14170aeb699980b60426929120f22a7e