跳转到正文
skillsafebeta
← 报告库
用途分类 / 文档处理

Recipe Log Deal Update Skill 安全审计

作者说它能做什么（原文）

Append a deal status update to a Google Sheets sales tracking spreadsheet.

第三方安全检查结论

先别安装或运行

已检查文件
1
发现的风险
3
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

追加一行前会把整个 A:F 销售管道读入代理上下文

原文依据：2 处
发现了什么

第 2 步读取 Pipeline!A1:F，没有行数限制；而第 3 步追加固定行本身并不需要读取所有已有记录。该范围可能包含客户、金额、阶段和负责人等商业敏感信息。

为什么需要注意

执行时，整份现有销售数据可能暴露给代理及具有表格访问能力的工具，扩大不必要的数据接触范围。现有证据未显示这些数据会被发送到其他外部目的地。

读取步骤请求 Pipeline 工作表从 A1 到 F 列末尾的全部现有行，没有行数限制。销售表可能包含客户、金额、阶段及负责人；这些内容会被命令返回给执行环境。虽然读取可能用于检查结构，但后续固定追加命令并未体现需要全部历史数据。用户可限制为表头或少量尾行，并询问作者为何需要完整读取。

SKILL.md:26来自说明文档打开原文件
1. Find the tracking sheet: `gws drive files list --params '{"q": "name = '\''Sales Pipeline'\'' and mimeType = '\''application/vnd.google-apps.spreadsheet'\''"}'`2. Read current data: `gws sheets +read --spreadsheet SHEET_ID --range "Pipeline!A1:F"`3. Append new row: `gws sheets +append --spreadsheet SHEET_ID --range 'Pipeline' --values '["2024-03-15", "Acme Corp", "Proposal Sent", "$50,000", "Q2", "jdoe"]'`
查看另外 1 个位置
SKILL.md:27来自说明文档打开原文件
2. Read current data: `gws sheets +read --spreadsheet SHEET_ID --range "Pipeline!A1:F"`3. Append new row: `gws sheets +append --spreadsheet SHEET_ID --range 'Pipeline' --values '["2024-03-15", "Acme Corp", "Proposal Sent", "$50,000", "Q2", "jdoe"]'`
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 2 项风险
高风险

示例命令会把固定的虚构交易记录写入真实销售表

原文依据：2 处
发现了什么

追加步骤不是占位模板，而是一条可直接执行的命令，固定写入日期、客户、阶段、金额、季度和负责人。指令没有要求先用用户提供的交易内容替换这些值，也没有要求在写入前确认。

为什么需要注意

如果代理照字面执行，真实销售管道会新增一笔 Acme Corp、50,000 美元的记录，可能污染预测、业绩归属和后续销售决策。

这是实际步骤中的可执行追加命令，不是明确标注的示例；它把固定的 Acme Corp、$50,000 等数据写入所选表格。若代理原样执行，真实销售管道会新增一条可能虚假的记录。用户可要求作者将字段改为必填输入，并在写入前显示目标表和整行内容供确认。

SKILL.md:27来自说明文档打开原文件
2. Read current data: `gws sheets +read --spreadsheet SHEET_ID --range "Pipeline!A1:F"`3. Append new row: `gws sheets +append --spreadsheet SHEET_ID --range 'Pipeline' --values '["2024-03-15", "Acme Corp", "Proposal Sent", "$50,000", "Q2", "jdoe"]'`
查看另外 1 个位置
SKILL.md:21来自说明文档打开原文件
Append a deal status update to a Google Sheets sales tracking spreadsheet.
中风险

仅按名称查找可能把交易写入错误的同名表格

原文依据：2 处
发现了什么

查找条件只约束文件名和 MIME 类型。指令没有限定所有者、共享盘、文件夹或唯一文件 ID，也没有说明出现多个结果时如何选择；后续却直接使用 SHEET_ID 写入。

为什么需要注意

如果账户中存在多个名为 Sales Pipeline 的表格，代理可能读取并修改错误团队、客户或环境的销售记录。

搜索只按精确名称和电子表格类型筛选；可见指令未限定所有者、文件夹或共享盘，也未规定多个结果时的选择规则。随后追加命令使用从搜索结果取得的 SHEET_ID，因此同名文件存在时可能选错并写入。用户可要求使用预先批准的唯一文件 ID，或在写入前确认文件所有者、位置和链接。

SKILL.md:25来自说明文档打开原文件
1. Find the tracking sheet: `gws drive files list --params '{"q": "name = '\''Sales Pipeline'\'' and mimeType = '\''application/vnd.google-apps.spreadsheet'\''"}'`2. Read current data: `gws sheets +read --spreadsheet SHEET_ID --range "Pipeline!A1:F"`3. Append new row: `gws sheets +append --spreadsheet SHEET_ID --range 'Pipeline' --values '["2024-03-15", "Acme Corp", "Proposal Sent", "$50,000", "Q2", "jdoe"]'`
查看另外 1 个位置
SKILL.md:27来自说明文档打开原文件
2. Read current data: `gws sheets +read --spreadsheet SHEET_ID --range "Pipeline!A1:F"`3. Append new row: `gws sheets +append --spreadsheet SHEET_ID --range 'Pipeline' --values '["2024-03-15", "Acme Corp", "Proposal Sent", "$50,000", "Q2", "jdoe"]'`

Skill 逻辑拆解

1 个说明模块

该 Skill 先在 Google Drive 中按固定名称“Sales Pipeline”查找表格，再读取 Pipeline 工作表 A 到 F 列的全部现有行，最后向该工作表追加一行。

查看原文
SKILL.md:25来自说明文档打开原文件
1. Find the tracking sheet: `gws drive files list --params '{"q": "name = '\''Sales Pipeline'\'' and mimeType = '\''application/vnd.google-apps.spreadsheet'\''"}'`2. Read current data: `gws sheets +read --spreadsheet SHEET_ID --range "Pipeline!A1:F"`3. Append new row: `gws sheets +append --spreadsheet SHEET_ID --range 'Pipeline' --values '["2024-03-15", "Acme Corp", "Proposal Sent", "$50,000", "Q2", "jdoe"]'`

该 Skill 依赖能够访问 Google Sheets 和 Google Drive 的 gws 工具及配套技能；其实际访问范围取决于用户授予这些组件的 Google 账户权限。

查看原文
SKILL.md:9来自说明文档打开原文件
    domain: "sales"    requires:      bins:        - gws      skills:        - gws-sheets        - gws-drive---
SKILL.md:19来自说明文档打开原文件
> **PREREQUISITE:** Load the following skills to execute this recipe: `gws-sheets`, `gws-drive`
从这里开始 · 工作说明SKILL.md
recipe-log-deal-update
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
读取了多少行
29
文件校验值（用于核对版本）
892cd669f6842e341a756c2b5925884228f25cc955a1385604e175d4b13a4574