curl -L -o judging-rubric-grader.skill "https://aiskillstore.io/v1/agent/skills/96691c98-5d7a-45a0-ac24-3a3f58a02a7d/download?platform=ClaudeCode"
{
"tool": "download_skill",
"arguments": {
"skill_id": "96691c98-5d7a-45a0-ac24-3a3f58a02a7d",
"platform": "ClaudeCode"
}
}
{
"mcpServers": {
"skill-store": {
"url": "https://aiskillstore.io/mcp/"
}
}
}
赛事评审打分器——基于 UIBC 赛事规范的零依赖决策支持工具，JSON IR 输出，覆盖TH-EVT-003域。 适用场景：当需要赛事评审打分器能力时使用本技能；触发词：赛事、判定器、TH-EVT-003、judging-rubric-grader。
Findings: ["메타데이터 경고: 권장 필드 없음: 'platform_compatibility' (SKILL.md v2 권장)", "USK v3 경고: input_schema.type이 'object'가 아닙니다", "USK v3 경고: output_schema.type이 'object'가 아닙니다", 'USK v3 경고: 이 스킬은 자동 변환 조건을 충족하지 않아 manual_install로 처리됩니다']
✅ No security risks found.
AI Review Stage
Issues Found
제공된 스킬 메타데이터에서 `allowed-tools` 필드는 파일 시스템 접근(`Read`, `Write`, `Glob`, `Grep`), 서브프로세스 실행(`Bash`), 네트워크 통신(`WebFetch`)과 같은 광범위한 기능을 명시하고 있습니다. 그러나 `permissions` 필드는 `network: false`, `filesystem: false`, `subprocess: false`로 명시하여 이러한 기능들을 명백히 부정하고 있습니다. 이는 심각한 불일치입니다. 또한, 작성자가 스스로 책정한 `risk_tier: medium`의 근거로 'API 호출/파일 읽기-쓰기/로컬 실행'을 언급하고 있는데, 이는 `allowed-tools`에 명시된 기능들과 일치하지만 `permissions` 필드의 선언과는 상충됩니다. 이러한 모순은 스킬이 실제로 어떤 권한을 가지고 실행될지에 대한 불확실성을 야기합니다. 제공된 Python 코드(`judging-rubric-grader.py`) 자체는 표준 라이브러리만을 사용하며 네트워크, 파일 시스템, 서브프로세스 기능을 직접적으로 사용하지 않는 것으로 보입니다. 그러나 `_run` 함수의 일부가 생략되어 있어 전체적인 동작을 완전히 파악하기 어렵습니다. 정적 분석 결과는 'caution' 상태이지만 특정 'red_flags_found'는 없었습니다. 이러한 메타데이터의 불일치로 인해 스킬의 실제 보안 위험 수준을 정확히 판단하기 어렵습니다. 만약 `allowed-tools`에 명시된 기능들이 실제로 활성화된다면, `Bash`를 통한 임의 코드 실행이나 `WebFetch`를 통한 데이터 유출 등 높은 위험을 초래할 수 있습니다. 따라서 개발자의 명확한 설명이나 관리자의 수동 검토를 통해 실제 실행 환경에서의 권한 범위를 확인해야 합니다. 현재로서는 'pending' 상태로 분류하며, 작성자의 `medium` 위험 등급 선언과 잠재적 기능들을 고려하여 'medium' 위험 수준으로 판단합니다.
No reviews yet. Be the first to leave one!