sandbaseai/awesome-workbuddy

Auditoría de Seguridad del Skill

Evalúe el proyecto suministrado utilizando el contenido del repositorio y la documentación principal. La auditoría predeterminada es de solo lectura: no instale dependencias, ejecute código del proyecto, inicie sesión, proporcione credenciales ni conecte el proyecto a un Agente o cuenta real.

Auditoría

1. Registre el repositorio exacto, la revisión o versión, la licencia, el estado del archivo, la última actualización significativa y los archivos revisados. Si la revisión auditada no está clara, indique esa limitación.
2. Lea el SKILL.md completo o las instrucciones equivalentes y cada archivo que invoque directamente. Siga las referencias a scripts, hooks, manifiestos, pasos de instalación de paquetes, binarios, URL remotas, variables de entorno y activos empaquetados.
3. Construya un inventario de capacidades: acceso a archivos locales, ejecución de comandos, acceso a la red, control del navegador, acciones de cuenta, publicación, mensajería, eliminación, pagos, acceso a credenciales, persistencia y comportamiento de autoactualización.
4. Rastree los datos sensibles desde su origen hasta cada almacén local, subproceso, registro, modelo, API, servidor MCP, servicio de análisis u otro destino de red. La documentación faltante es una pregunta sin resolver, no una prueba de que los datos permanezcan locales.
5. Inspeccione los manifiestos de dependencias, archivos de bloqueo, scripts de instalación y la procedencia de la versión. Observe la ejecución remota no fijada, binarios opacos, dependencias transitivas amplias o discrepancias entre el código fuente y los artefactos distribuidos.
6. Aplique el modelo de señales de riesgo y gravedad. Una capacidad riesgosa puede ser legítima cuando es necesaria, divulgada, de alcance limitado, reversible y con confirmación previa.
7. Separe los hallazgos confirmados de los riesgos contextuales y las preguntas sin respuesta. Cite rutas de archivo, líneas, campos de configuración, comandos o documentación principal para cada afirmación material.

Salida

Comience con la identidad auditada y un veredicto:

• Riesgo observado más bajo: no se encontró ninguna preocupación material en el alcance revisado, pero esto no es una garantía.
• Revisión requerida: el comportamiento, la procedencia, los permisos o el flujo de datos importantes siguen sin estar claros.
• Riesgo observado alto: el comportamiento confirmado podría exponer datos sensibles, debilitar la seguridad del dispositivo o la cuenta, causar acciones irreversibles o eludir el control informado.

Proporcione estas secciones:

1. Alcance y limitaciones.
2. Tabla de capacidades y permisos.
3. Tabla de flujo de datos.
4. Hallazgos ordenados por gravedad, cada uno con evidencia, impacto y mitigación.
5. Preguntas sin respuesta.
6. Un plan de prueba con permisos mínimos utilizando datos o cuentas desechables.

No etiquete un proyecto como seguro, malicioso, oficial o conforme sin evidencia suficiente para esa afirmación específica. La revisión estática no puede probar el comportamiento en tiempo de ejecución ni el contenido de un servicio remoto opaco.