sandbaseai/awesome-workbuddy

Auditoria de Segurança do Skill

Avalie o projeto fornecido usando o conteúdo do repositório e a documentação primária. A auditoria padrão é somente leitura: não instale dependências, execute código do projeto, faça login, forneça credenciais ou conecte o projeto a um Agente ou conta real.

Auditoria

1. Registre o repositório exato, revisão ou versão, licença, status de arquivamento, atualização significativa mais recente e arquivos revisados. Se a revisão auditada não estiver clara, declare essa limitação.
2. Leia o SKILL.md completo ou instruções equivalentes e todos os arquivos que ele invoca diretamente. Siga referências a scripts, hooks, manifestos, etapas de instalação de pacotes, binários, URLs remotas, variáveis de ambiente e ativos incluídos.
3. Crie um inventário de capacidades: acesso a arquivos locais, execução de comandos, acesso à rede, controle de navegador, ações de conta, publicação, envio de mensagens, exclusão, pagamento, acesso a credenciais, persistência e comportamento de auto-atualização.
4. Rastreie dados confidenciais desde sua origem até cada armazenamento local, subprocesso, log, modelo, API, servidor MCP, serviço de análise ou outro destino de rede. Documentação ausente é uma pergunta não respondida, não uma prova de que os dados permanecem locais.
5. Inspecione manifestos de dependências, lockfiles, scripts de instalação e proveniência de versões. Observe execução remota não fixada, binários opacos, dependências transitórias amplas ou incompatibilidades entre a origem e os artefatos distribuídos.
6. Aplique o modelo de sinais de risco e severidade. Uma capacidade arriscada pode ser legítima quando for necessária, divulgada, de escopo restrito, reversível e com confirmação por meio de etapa.
7. Separe as descobertas confirmadas dos riscos contextuais e das perguntas não respondidas. Cite caminhos de arquivo, linhas, campos de configuração, comandos ou documentação primária para cada afirmação material.

Saída

Comece com a identidade auditada e um veredito:

• Risco observado menor: nenhuma preocupação material foi encontrada no escopo revisado, mas isso não é uma garantia.
• Revisão necessária: comportamento importante, proveniência, permissões ou fluxo de dados permanecem obscuros.
• Risco observado alto: comportamento confirmado pode expor dados confidenciais, enfraquecer a segurança do dispositivo ou da conta, causar ação irreversível ou contornar o controle informado.

Forneça estas seções:

1. Escopo e limitações.
2. Tabela de capacidades e permissões.
3. Tabela de fluxo de dados.
4. Descobertas ordenadas por severidade, cada uma com evidência, impacto e mitigação.
5. Perguntas não respondidas.
6. Um plano de teste de permissão mínima usando dados ou contas descartáveis.

Não rotule um projeto como seguro, malicioso, oficial ou em conformidade sem evidências suficientes para essa afirmação específica. A revisão estática não pode provar o comportamento em tempo de execução ou o conteúdo de um serviço remoto opaco.