跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Scaffold Exercises Skill 安全审计

作者说它能做什么（原文）

Create exercise directory structures with sections, problems, solutions, and explainers that pass linting. Use when user wants to scaffold exercises, create exercise stubs, or set up a new course section.

第三方安全检查结论

发现安全风险

已检查文件
2
发现的风险
1
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。发现 1 项风险
中风险

Skill 要求自动创建 Git 提交，超出其“搭建练习目录”的核心目的

原文依据：4 处
发现了什么

简介只承诺创建练习结构，但正文额外要求在完成后执行 `git commit`。提交会永久改变仓库历史，而且该要求没有规定先展示差异、确认提交范围或获得用户批准。

为什么需要注意

如果代理照做，用户尚未审阅的脚手架变更会被记录为提交；若仓库中已有其他暂存内容，这些内容也可能一并进入该提交。

该技能的声明用途是搭建可通过检查的练习目录，但正文还直接要求执行 `git commit`。这会在用户调用技能进行搭建时改写仓库历史，而工作流没有要求先让用户核对变更、限定提交内容或批准提交。用户可明确禁止自动提交，并要求作者将提交改为单独的可选确认步骤。

SKILL.md:2来自说明文档打开原文件
---name: scaffold-exercisesdescription: Create exercise directory structures with sections, problems, solutions, and explainers that pass linting. Use when user wants to scaffold exercises, create exercise stubs, or set up a new course section.---
查看另外 3 个位置
SKILL.md:8来自说明文档打开原文件
Create exercise directory structures that pass `pnpm ai-hero-cli internal lint`, then commit with `git commit`.
SKILL.md:3来自说明文档打开原文件
name: scaffold-exercisesdescription: Create exercise directory structures with sections, problems, solutions, and explainers that pass linting. Use when user wants to scaffold exercises, create exercise stubs, or set up a new course section.---
SKILL.md:46来自说明文档打开原文件
1. **Parse the plan** - extract section names, exercise names, and variant types2. **Create directories** - `mkdir -p` for each path3. **Create stub readmes** - one `readme.md` per variant folder with a title4. **Run lint** - `pnpm ai-hero-cli internal lint` to validate5. **Fix any errors** - iterate until lint passes
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

7 个说明模块

该 Skill 的主要行为是根据计划在 `exercises/` 下创建章节、练习及变体目录，并为每个变体写入非空的 `readme.md`。

查看原文
SKILL.md:46来自说明文档打开原文件
1. **Parse the plan** - extract section names, exercise names, and variant types2. **Create directories** - `mkdir -p` for each path3. **Create stub readmes** - one `readme.md` per variant folder with a title4. **Run lint** - `pnpm ai-hero-cli internal lint` to validate

创建文件后，Skill 会运行项目中的 pnpm CLI 进行检查，并被要求持续修改直至检查通过。

查看原文
SKILL.md:49来自说明文档打开原文件
3. **Create stub readmes** - one `readme.md` per variant folder with a title4. **Run lint** - `pnpm ai-hero-cli internal lint` to validate5. **Fix any errors** - iterate until lint passes

移动或重编号练习时，Skill 指示使用 `git mv`，因此会产生 Git 可追踪的路径变更。

查看原文
SKILL.md:67来自说明文档打开原文件
When renumbering or moving exercises:1. Use `git mv` (not `mv`) to rename directories - preserves git history2. Update the numeric prefix to maintain order3. Re-run lint after moves
从这里开始 · 工作说明SKILL.md
scaffold-exercises
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录2 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文
  • agents/openai.yaml已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
  • agents/openai.yaml配套文件

代码和说明中提到的操作

运行命令
SKILL.md:75来自说明文档打开原文件
```bashgit mv exercises/01-retrieval/01.03-embeddings exercises/01-retrieval/01.04-embeddings
SKILL.md:92来自说明文档打开原文件
```bashmkdir -p exercises/05-memory-skill-building/05.01-introduction-to-memory/explainer
修改文件
SKILL.md:76来自说明文档打开原文件
```bashgit mv exercises/01-retrieval/01.03-embeddings exercises/01-retrieval/01.04-embeddings```
读取了多少行
111
文件校验值（用于核对版本）
5ddbe8357bf0aa632be416595b85d4d96f67250576de1ee02b80b1ccf11e6707