curl -L -o data-grade-checker.skill "https://aiskillstore.io/v1/agent/skills/e0ab87e3-a221-4936-a51d-9114e08ded12/download?platform=ClaudeCode"
{
"tool": "download_skill",
"arguments": {
"skill_id": "e0ab87e3-a221-4936-a51d-9114e08ded12",
"platform": "ClaudeCode"
}
}
{
"mcpServers": {
"skill-store": {
"url": "https://aiskillstore.io/mcp/"
}
}
}
数据分类分级判定器——基于官方规则源的零依赖决策支持工具，JSON IR 输出，覆盖TH-DAT-001域。 适用场景：当需要数据分类分级判定器能力时使用本技能；触发词：合规、判定器、TH-DAT-001、data-grade-checker。
Findings: ["메타데이터 경고: 권장 필드 없음: 'platform_compatibility' (SKILL.md v2 권장)", "USK v3 경고: input_schema.type이 'object'가 아닙니다", "USK v3 경고: output_schema.type이 'object'가 아닙니다", 'USK v3 경고: 이 스킬은 자동 변환 조건을 충족하지 않아 manual_install로 처리됩니다']
✅ No security risks found.
AI Review Stage
Issues Found
1. **선언된 permissions과 실제 코드 일치 여부:** 제공된 Python 코드(`data-grade-checker.py`) 자체는 네트워크 통신, 파일 시스템 접근, 서브프로세스 실행을 수행하지 않으므로, `permissions` 필드(`network: false`, `filesystem: false`, `subprocess: false`)와 일치합니다. 코드 자체는 'zero-dependency'라는 설명에 부합합니다. 2. **악의적 목적의 코드 여부:** 코드 분석 결과, 데이터 탈취, 시스템 파괴, 난독화 등 악의적인 목적의 코드는 발견되지 않았습니다. 스킬의 목적에 충실한 순수한 로직으로 구성되어 있습니다. 3. **선언되지 않은 외부 통신 여부:** 코드 내에서 외부 통신을 시도하는 부분은 없습니다. 4. **사용자 데이터 무단 수집/전송 여부:** 스킬은 입력 인자를 받아 처리하고 JSON 형식의 결과를 표준 출력으로 반환할 뿐, 사용자 데이터를 무단으로 수집하거나 외부로 전송하는 기능은 없습니다. 5. **코드 품질:** 코드는 명확하고, 주석이 잘 달려 있으며, 스킬의 목적(데이터 분류/분급 판정)에 부합하는 기능을 정확히 수행합니다. **주요 문제점:** 가장 큰 문제는 메타데이터의 `allowed-tools` 필드와 `permissions` 필드 간의 심각한 불일치입니다. `allowed-tools`는 파일 시스템 접근(`Read`, `Glob`, `Grep`, `Write`), 서브프로세스 실행(`Bash`), 네트워크 통신(`WebFetch`)과 같은 광범위한 권한을 허용하는 것으로 명시되어 있습니다. 그러나 `permissions` 필드는 이 모든 권한을 `false`로 명시적으로 거부하고 있습니다. 또한, `risk_rationale`에서 'API 호출/읽기/쓰기 파일/로컬 실행'을 언급하며 중등 위험으로 분류한 점은 `allowed-tools`의 광범위한 권한을 전제로 한 것으로 보입니다. 이 불일치는 스킬 실행 환경에서 실제 어떤 권한이 부여되는지에 대한 혼란을 야기하며, 잠재적인 보안 위험을 내포할 수 있습니다. 플랫폼이 `allowed-tools`를 기준으로 권한을 부여한다면, `permissions` 필드는 오해의 소지가 있으며, 현재 코드는 안전하지만 향후 코드 변경 시 위험을 초래할 수 있습니다. 따라서 이 부분에 대한 명확한 정의와 메타데이터 수정이 필요합니다.
No reviews yet. Be the first to leave one!