跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Recipe Plan Weekly Schedule Skill 安全审计

作者说它能做什么（原文）

Review your Google Calendar week, identify gaps, and add events to fill them.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
2
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
低风险

完整议程内容会被读取到执行该 Skill 的会话中

原文依据：4 处
发现了什么

流程在前后两次调用议程命令，而空闲/忙碌查询本身已可用于识别时间空档。议程通常比忙碌区间包含更多日程上下文，因此读取范围可能超过单纯寻找空档所需。所给源码未显示向外部接收方发送这些数据。

为什么需要注意

事件标题及其他议程细节可能进入代理上下文、终端输出或相关日志，并受这些环境的保留和访问策略约束。

这段代码的正常用途

议程命令确实会让执行该 Skill 的代理读取日历内容，但这与声明的“查看本周日历、识别空档并复查更新”目的直接一致。前后两次读取分别用于规划和验证写入，并非明显无关的数据收集。所给源码没有把议程发送给第三方、保存到文件或扩大到其他周的指令。用户若只愿暴露忙闲区间，可限制 Skill 仅执行 free/busy 查询，但现有证据不足以表明存在额外披露。

这项判断针对展示的代码和适用条件，不表示风险已经实际发生。
SKILL.md:24来自说明文档打开原文件
1. Check this week's agenda: `gws calendar +agenda`2. Check free/busy for the week: `gws calendar freebusy query --json '{"timeMin": "2025-01-20T00:00:00Z", "timeMax": "2025-01-25T00:00:00Z", "items": [{"id": "primary"}]}'`3. Add a new event: `gws calendar +insert --summary 'Deep Work Block' --start '2026-01-21T14:00:00' --end '2026-01-21T16:00:00'`
查看另外 3 个位置
SKILL.md:27来自说明文档打开原文件
3. Add a new event: `gws calendar +insert --summary 'Deep Work Block' --start '2026-01-21T14:00:00' --end '2026-01-21T16:00:00'`4. Review updated schedule: `gws calendar +agenda`
SKILL.md:20来自说明文档打开原文件
Review your Google Calendar week, identify gaps, and add events to fill them.
SKILL.md:25来自说明文档打开原文件
1. Check this week's agenda: `gws calendar +agenda`2. Check free/busy for the week: `gws calendar freebusy query --json '{"timeMin": "2025-01-20T00:00:00Z", "timeMax": "2025-01-25T00:00:00Z", "items": [{"id": "primary"}]}'`3. Add a new event: `gws calendar +insert --summary 'Deep Work Block' --start '2026-01-21T14:00:00' --end '2026-01-21T16:00:00'`
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

未经确认即可写入硬编码且与检查范围不一致的日历事件

原文依据：2 处
发现了什么

流程没有要求用户选择空档、核对时区或确认写入，就执行事件创建。空闲查询检查的是 2025-01-20 至 2025-01-25，但创建的事件位于 2026-01-21，因此查询结果不能证明该时段可用。

为什么需要注意

执行该步骤可能在用户的主日历中加入不需要的事件，或与 2026 年已有安排冲突；错误事件还可能影响提醒、可用性展示及基于日历作出的安排决定。

这是实际执行步骤，而非示例或警告。流程先查询 2025-01-20 至 2025-01-25 的忙闲状态，随后直接在 2026-01-21 创建固定名称和时间的事件；两者不在同一周，因此查询无法验证写入时段是否空闲。源码也未要求用户确认时间、日期或时区。若照做，可能在用户主日历中加入非预期事件。用户可要求作者改为依据查询结果生成候选时段，并在写入前明确确认日历、时区及起止时间。

SKILL.md:25来自说明文档打开原文件
1. Check this week's agenda: `gws calendar +agenda`2. Check free/busy for the week: `gws calendar freebusy query --json '{"timeMin": "2025-01-20T00:00:00Z", "timeMax": "2025-01-25T00:00:00Z", "items": [{"id": "primary"}]}'`3. Add a new event: `gws calendar +insert --summary 'Deep Work Block' --start '2026-01-21T14:00:00' --end '2026-01-21T16:00:00'`4. Review updated schedule: `gws calendar +agenda`
查看另外 1 个位置
SKILL.md:26来自说明文档打开原文件
2. Check free/busy for the week: `gws calendar freebusy query --json '{"timeMin": "2025-01-20T00:00:00Z", "timeMax": "2025-01-25T00:00:00Z", "items": [{"id": "primary"}]}'`3. Add a new event: `gws calendar +insert --summary 'Deep Work Block' --start '2026-01-21T14:00:00' --end '2026-01-21T16:00:00'`4. Review updated schedule: `gws calendar +agenda`

Skill 逻辑拆解

1 个说明模块

该 Skill 要求加载 `gws-calendar`，并使用 `gws` 访问用户的 Google 日历；前置条件表明它依赖已有的日历集成和相应账户权限。

查看原文
SKILL.md:9来自说明文档打开原文件
    domain: "scheduling"    requires:      bins:        - gws      skills:        - gws-calendar---
SKILL.md:18来自说明文档打开原文件
> **PREREQUISITE:** Load the following skills to execute this recipe: `gws-calendar`

工作流会读取本周议程和空闲/忙碌状态，然后直接创建一个名为 “Deep Work Block” 的两小时事件，最后再次读取议程。

查看原文
SKILL.md:24来自说明文档打开原文件
1. Check this week's agenda: `gws calendar +agenda`2. Check free/busy for the week: `gws calendar freebusy query --json '{"timeMin": "2025-01-20T00:00:00Z", "timeMax": "2025-01-25T00:00:00Z", "items": [{"id": "primary"}]}'`3. Add a new event: `gws calendar +insert --summary 'Deep Work Block' --start '2026-01-21T14:00:00' --end '2026-01-21T16:00:00'`4. Review updated schedule: `gws calendar +agenda`
从这里开始 · 工作说明SKILL.md
recipe-plan-weekly-schedule
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
读取了多少行
29
文件校验值（用于核对版本）
c9042140860800fd941f4e8b76ef5faaf372c89d07dd70bf582f91ba1e907eb2