curl -L -o travel-rule-check.skill "https://aiskillstore.io/v1/agent/skills/0b379320-314f-4686-9b24-20da52f73344/download?platform=ClaudeCode"
{
"tool": "download_skill",
"arguments": {
"skill_id": "0b379320-314f-4686-9b24-20da52f73344",
"platform": "ClaudeCode"
}
}
{
"mcpServers": {
"skill-store": {
"url": "https://aiskillstore.io/mcp/"
}
}
}
travel-rule-check — LGD 三律在链上资产 / VASP 旅行规则（FATF）域的纵深合规工具（零依赖）：VASP 转账收发方 KYC（姓名+账号/地址+地理）超阈强制校验，对 AI 系统/数据做可执行合规校验。 适用场景：当需要旅行规则校验能力时使用本技能；触发词：travel-rule-check。
호환 플랫폼: windows macos linux
검사 결과: ["USK v3 경고: input_schema.type이 'object'가 아닙니다", "USK v3 경고: output_schema.type이 'object'가 아닙니다", 'USK v3 경고: 이 스킬은 자동 변환 조건을 충족하지 않아 manual_install로 처리됩니다']
✅ 보안 위험 항목이 발견되지 않았습니다.
AI 검수 단계
발견된 문제
업로드된 스킬 패키지의 메타데이터에서 `permissions` 필드는 네트워크, 파일 시스템, 서브프로세스 접근을 명시적으로 `false`로 선언하여 매우 제한적인 환경을 나타냅니다. 그러나 `allowed-tools` 필드에는 `Read`, `Glob`, `Grep`, `Bash`, `Write`, `WebFetch`와 같은 도구들이 포함되어 있습니다. 이 도구들은 각각 파일 시스템 접근(`Read`, `Glob`, `Grep`, `Write`), 서브프로세스 실행(`Bash`), 네트워크 접근(`WebFetch`)을 필요로 하므로, `permissions` 필드의 선언과 직접적으로 모순됩니다. 또한, `risk_rationale` 필드에 'API 호출/파일 읽기-쓰기/로컬 실행'이 언급되어 있는데, 이는 `allowed-tools`가 시사하는 기능과 일치하지만, `permissions: false` 선언과는 상충됩니다. 제공된 `scripts/travel_rule_check.py` 코드는 매우 간단하며, `argparse`, `json`, `sys`와 같은 표준 라이브러리만을 사용하여 표준 입출력만 처리합니다. 이 코드는 `allowed-tools`에 명시된 어떠한 고급 기능(네트워크 통신, 파일 시스템 조작, 서브프로세스 실행 등)도 사용하지 않습니다. 따라서 코드 자체는 현재로서는 낮은 위험으로 판단됩니다. 그러나 메타데이터의 이러한 중대한 불일치는 스킬이 실제로 어떤 권한을 요청하고 사용할 것인지에 대한 불확실성을 야기합니다. 이는 잠재적인 보안 위험을 내포할 수 있으므로, 개발자가 `permissions`와 `allowed-tools` 선언을 명확히 일치시키거나, 현재 코드의 실제 요구사항에 맞게 메타데이터를 수정해야 합니다. 이러한 불확실성 때문에 즉시 승인하기 어렵고, 관리자의 추가 검토 및 개발자의 설명이 필요하다고 판단하여 'pending'으로 분류합니다. `risk_level`은 메타데이터에 선언된 `medium`과 `allowed-tools`가 시사하는 잠재적 기능에 따라 'medium'으로 설정합니다.
아직 리뷰가 없습니다. 첫 번째 리뷰를 남겨보세요!