curl -L -o lgd-badge-verify.skill "https://aiskillstore.io/v1/agent/skills/3afcc42f-ec19-456e-84ad-378383b0803b/download?platform=ClaudeCode"
{
"tool": "download_skill",
"arguments": {
"skill_id": "3afcc42f-ec19-456e-84ad-378383b0803b",
"platform": "ClaudeCode"
}
}
{
"mcpServers": {
"skill-store": {
"url": "https://aiskillstore.io/mcp/"
}
}
}
Verify an lgd-certified badge certificate: recompute the fingerprint against tampering, validate the evidence-hash format, and reconcile the ledger (serial exists and is not revoked). 中文：验徽章证书：指纹重算防篡改 + 证据哈希格式校验 + 台账对账（serial 存在且未吊销）。适用场景：当需要 LGD 徽章验真器能力时使用本技能；触发词：lgd-badge-verify。
Findings: ["메타데이터 경고: 권장 필드 없음: 'platform_compatibility' (SKILL.md v2 권장)", 'USK v3 경고: 이 스킬은 자동 변환 조건을 충족하지 않아 manual_install로 처리됩니다']
✅ No security risks found.
AI Review Stage
Issues Found
제공된 스킬 `lgd-badge-verify`의 Python 코드(`scripts/badge_verify.py`)는 `pathlib` 모듈을 사용하여 `--cert` 인수로 제공된 인증서 파일과 `--registry` 인수로 제공된 레지스트리 파일을 읽습니다. 이는 `pathlib.Path(...).is_file()`, `pathlib.Path(...).read_text()`, `pathlib.Path(...).exists()` 등의 호출을 통해 파일 시스템 접근을 명백히 필요로 하는 동작입니다. 그러나 스킬 메타데이터의 `permissions` 섹션에서는 `filesystem: false`로 선언되어 있습니다. 이는 실제 코드의 동작과 직접적으로 모순됩니다. 또한, 메타데이터의 `allowed-tools` 필드에는 `Read`, `Write` 등이 포함되어 있어 파일 시스템 접근이 허용될 수 있음을 암시하며, `risk_rationale`에서도 '读写文件/本地执行' (파일 읽기/쓰기/로컬 실행)을 언급하고 있어 `permissions` 필드와의 불일치가 더욱 두드러집니다. `allowed-tools`에 `WebFetch`가 포함되어 있지만, Python 코드 자체에서는 외부 네트워크 통신을 수행하는 코드가 발견되지 않았습니다. 코드 자체는 LGD 뱃지 인증서의 무결성을 검증하는 명확하고 비악의적인 목적을 가지고 있으며, 사용자 데이터를 무단으로 수집하거나 전송하는 기능은 없습니다. 난독화된 코드도 발견되지 않았습니다. 외부 Python 패키지 의존성도 없어 추가적인 보안 위험은 없습니다. 따라서, 스킬의 기능 자체는 안전해 보이나, 메타데이터의 `permissions` 필드를 실제 코드의 동작에 맞게 `filesystem: true`로 수정하고, `allowed-tools` 및 `risk_rationale`과의 일관성을 확보해야 합니다. 이 수정 없이는 `pending` 상태로 유지되어 관리자 검토가 필요합니다.
No reviews yet. Be the first to leave one!