跳转到正文
skillsafebeta
← 报告库
用途分类 / 文档处理

Recipe Share Doc And Notify Skill 安全审计

作者说它能做什么（原文）

Share a Google Docs document with edit access and email collaborators the link.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
2
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

模糊名称搜索可能导致共享错误的同名文档

原文依据：2 处
发现了什么

查找步骤使用 `name contains 'Project Brief'`，可能返回多个名称包含该片段的文档，但后续步骤没有规定如何确认应使用哪个 `DOC_ID`。

为什么需要注意

如果代理从多个结果中选错文档，错误文档会被授予编辑权限，并且其链接会发送给收件人。

查找命令使用包含匹配，而不是唯一 ID 或精确名称；若多个 Google 文档名称含有“Project Brief”，该步骤可能返回多个结果。后续权限命令只要求填入一个 DOC_ID，却没有可见的选择或确认规则，因此执行者可能共享错误文档。用户可要求按唯一 ID、所有者或位置筛选，并在授权前显示标题和所有者供确认。

SKILL.md:26来自说明文档打开原文件
1. Find the doc: `gws drive files list --params '{"q": "name contains '\''Project Brief'\'' and mimeType = '\''application/vnd.google-apps.document'\''"}'`2. Share with editor access: `gws drive permissions create --params '{"fileId": "DOC_ID"}' --json '{"role": "writer", "type": "user", "emailAddress": "reviewer@company.com"}'`3. Email the link: `gws gmail +send --to reviewer@company.com --subject 'Please review: Project Brief' --body 'I have shared the project brief with you: https://docs.google.com/document/d/DOC_ID'`
查看另外 1 个位置
SKILL.md:27来自说明文档打开原文件
1. Find the doc: `gws drive files list --params '{"q": "name contains '\''Project Brief'\'' and mimeType = '\''application/vnd.google-apps.document'\''"}'`2. Share with editor access: `gws drive permissions create --params '{"fileId": "DOC_ID"}' --json '{"role": "writer", "type": "user", "emailAddress": "reviewer@company.com"}'`3. Email the link: `gws gmail +send --to reviewer@company.com --subject 'Please review: Project Brief' --body 'I have shared the project brief with you: https://docs.google.com/document/d/DOC_ID'`
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 1 项风险
中风险

会向收件人授予持久的文档编辑权限并发送访问链接

原文依据：3 处
发现了什么

流程创建 `writer` 权限，然后主动向同一邮箱发送文档链接；没有要求在执行前确认收件人、权限级别或文档身份。

为什么需要注意

如果邮箱、文档 ID 或用户意图有误，收件人可能读取和修改不应共享的文档，且权限会保留到之后被撤销。

这是流程的实际操作，也是其声明用途的一部分；执行第 2、3 步并替换占位符后，会为指定邮箱创建 writer 权限并发送文档链接。可见步骤未要求先核对收件人、文档或权限级别，因此错误的邮箱或 DOC_ID 会把编辑能力授予非预期人员。用户可要求作者增加执行前确认，并将默认权限限制为只读或设置期限。

SKILL.md:27来自说明文档打开原文件
1. Find the doc: `gws drive files list --params '{"q": "name contains '\''Project Brief'\'' and mimeType = '\''application/vnd.google-apps.document'\''"}'`2. Share with editor access: `gws drive permissions create --params '{"fileId": "DOC_ID"}' --json '{"role": "writer", "type": "user", "emailAddress": "reviewer@company.com"}'`3. Email the link: `gws gmail +send --to reviewer@company.com --subject 'Please review: Project Brief' --body 'I have shared the project brief with you: https://docs.google.com/document/d/DOC_ID'`
查看另外 2 个位置
SKILL.md:22来自说明文档打开原文件
Share a Google Docs document with edit access and email collaborators the link.
SKILL.md:28来自说明文档打开原文件
2. Share with editor access: `gws drive permissions create --params '{"fileId": "DOC_ID"}' --json '{"role": "writer", "type": "user", "emailAddress": "reviewer@company.com"}'`3. Email the link: `gws gmail +send --to reviewer@company.com --subject 'Please review: Project Brief' --body 'I have shared the project brief with you: https://docs.google.com/document/d/DOC_ID'`
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

1 个说明模块

该 Skill 依赖 Google Drive、Docs 和 Gmail 能力，并通过 `gws` 命令操作用户的 Google Workspace。

查看原文
SKILL.md:9来自说明文档打开原文件
    domain: "productivity"    requires:      bins:        - gws      skills:        - gws-drive        - gws-docs        - gws-gmail---

流程先按名称片段查找 Google 文档，再向指定邮箱授予编辑权限，最后通过 Gmail 发送文档链接。

查看原文
SKILL.md:26来自说明文档打开原文件
1. Find the doc: `gws drive files list --params '{"q": "name contains '\''Project Brief'\'' and mimeType = '\''application/vnd.google-apps.document'\''"}'`2. Share with editor access: `gws drive permissions create --params '{"fileId": "DOC_ID"}' --json '{"role": "writer", "type": "user", "emailAddress": "reviewer@company.com"}'`3. Email the link: `gws gmail +send --to reviewer@company.com --subject 'Please review: Project Brief' --body 'I have shared the project brief with you: https://docs.google.com/document/d/DOC_ID'`
从这里开始 · 工作说明SKILL.md
recipe-share-doc-and-notify
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

连接外部网站
SKILL.md:28来自说明文档打开原文件
2. Share with editor access: `gws drive permissions create --params '{"fileId": "DOC_ID"}' --json '{"role": "writer", "type": "user", "emailAddress": "reviewer@company.com"}'`3. Email the link: `gws gmail +send --to reviewer@company.com --subject 'Please review: Project Brief' --body 'I have shared the project brief with you: https://docs.google.com/document/d/DOC_ID'`
读取了多少行
30
文件校验值（用于核对版本）
cfb9b9c17cb9c42fb49a9eb9e7aec0aee32b8de0d6648fe8ad50038de56b8b98