curl -L -o skill-scorecard.skill "https://aiskillstore.io/v1/agent/skills/8302d7f8-736a-496d-9f0c-76a2838fac53/download?platform=ClaudeCode"
{
"tool": "download_skill",
"arguments": {
"skill_id": "8302d7f8-736a-496d-9f0c-76a2838fac53",
"platform": "ClaudeCode"
}
}
{
"mcpServers": {
"skill-store": {
"url": "https://aiskillstore.io/mcp/"
}
}
}
Zero-dependency CLI to score any AI skill across four angles (Registered/Trustworthy/Safe/Machine-readable). Use before installing or calling a skill, in CI gates, or to mint a verifiable LGD VERIFIED badge. 零依赖 CLI：从四角度（已注册/可信/安全/机器可读）给任意 AI 技能评分，PASS>=60、fail-closed 退出码。适用场景：当安装/调用第三方技能前需要质量信号、CI 门禁需要 fail-closed 退出码、或需要生成内嵌 SHA-256 的可验证 LGD VERIFIED 徽章时使用本技能。触发词：skill-scorecard、四角度评分、scorecard、REG/TRUST/SAFE/MACH、LGD VERIFIED。
🚨 보안 위험 감지:
검사 결과: ["메타데이터 경고: 권장 필드 없음: 'platform_compatibility' (SKILL.md v2 권장)", 'USK v3 경고: 이 스킬은 자동 변환 조건을 충족하지 않아 manual_install로 처리됩니다']
AI 검수 단계
발견된 문제
이 스킬은 다른 AI 스킬의 등록, 신뢰성, 안전성, 기계 가독성을 평가하는 유용한 도구로 보입니다. 메타데이터와 제공된 코드 스니펫은 스킬의 목적과 잘 일치하며, 특히 `THREATS` 딕셔너리를 통해 다양한 보안 위협 패턴을 탐지하려는 노력이 엿보입니다. `network: false` 및 `filesystem: true` 권한 선언은 현재까지 제공된 코드와 일치합니다. 그러나 가장 중요한 문제는 `subprocess: false` 권한 선언과 정적 분석 결과 간의 불일치입니다. 정적 분석은 `.github/workflows/scorecard.yml` 파일에서 `subprocess.run(` 호출을 발견했습니다. 이 파일이 스킬의 런타임 코드(`skill_scorecard.py`)의 일부가 아니라 CI/CD 워크플로우에 해당할 가능성이 높지만, 스킬의 런타임 코드 전체를 검토하여 `subprocess` 관련 호출이 전혀 없는지 명확히 확인해야 합니다. 현재 제공된 `skill_scorecard.py` 코드가 생략되어 있어 이 부분을 완전히 검증할 수 없습니다. 따라서, 스킬의 안전성을 최종적으로 승인하기 위해서는 전체 코드에 대한 상세 검토가 필수적이며, 현재 상태는 'pending'으로 분류됩니다.
아직 리뷰가 없습니다. 첫 번째 리뷰를 남겨보세요!