CA alibabacloud-cfw-nat-firewall-protect
Управление NAT Firewall (брандмауэром NAT) Alibaba Cloud Firewall (CFW): запрашивайте информацию о брандмауэрах и статусе защиты, включайте/выключайте переключатель защиты, оценивайте, какие NAT-шлюзы могут быть защищены, и создавайте план, выполняйте предварительную проверку создания, диагностируйте несоответствие записей маршрута (route-diff), подготавливайте ресурсы для ручного перенаправления, создавайте брандмауэр (автоматическое или ручное перенаправление vswitch) и изменяйте режим строгости движка. Удаление/освобождение брандмауэра НЕ поддерживается: защита может быть отключена, но ресурс должен быть освобожден пользователем в консоли. Используйте, когда пользователи упоминают NAT firewall, NAT boundary firewall, NAT gateway protection, защиту исходящего трафика частной сети, открытие/закрытие переключателя NAT firewall, оценку того, как включить защиту, или диагностику сбоев создания из-за несоответствующих пользовательских записей маршрута. 管理阿里云云防火墙（CFW）NAT边界防火墙：查询防火墙与防护状态、开启/关闭防护开关、开墙评估与开墙方案、 创建预检查、路由条目不一致诊断、手动引流准备、创建NAT防火墙、修改引擎模式。不支持删除/释放防火墙， 需用户在控制台自行操作。适用于NAT防火墙、NAT网关防护、私网出方向防护、开关NAT墙、开墙评估等场景。
машинный переводПоказать оригиналСкрыть оригинал«Manage Alibaba Cloud Firewall (CFW) NAT Firewall (NAT boundary firewal…»
Manage Alibaba Cloud Firewall (CFW) NAT Firewall (NAT boundary firewall): query firewalls and protection status, enable/disable the protection switch, assess which NAT gateways can be protected and produce a plan, run the creation pre-check, diagnose route-entry inconsistency (route-diff), prepare manual-mode diversion assets, create a firewall (auto or manual vswitch diversion), and change engine strict mode. Deleting/releasing a firewall is NOT supported: protection can be switched off, but the resource must be released by the user in the console. Use when users mention NAT firewall, NAT boundary firewall, NAT gateway protection, protecting private-network outbound traffic, opening/closing the NAT firewall switch, assessing how to enable protection, or diagnosing creation failures from inconsistent custom route entries. 管理阿里云云防火墙（CFW）NAT边界防火墙：查询防火墙与防护状态、开启/关闭防护开关、开墙评估与开墙方案、 创建预检查、路由条目不一致诊断、手动引流准备、创建NAT防火墙、修改引擎模式。不支持删除/释放防火墙， 需用户在控制台自行操作。适用于NAT防火墙、NAT网关防护、私网出方向防护、开关NAT墙、开墙评估等场景。
Управление NAT Firewall (брандмауэром NAT) Alibaba Cloud Firewall (CFW): запрашивайте информацию о брандмауэрах и статусе защиты, включайте/выключайте…
Как процесс A 80/100 · Дойдёт до конца — слабые места: результат и критерий готовности, стоимость исполнения
Чем это грозит
Скилл содержит фрагменты, которые в чужих руках стоят денег или данных. Ниже, что рискует потерять тот, кто установит, и что должен сделать автор.
Скилл содержит команды, которые удаляют файлы, переписывают диски или исполняют код, скачанный из сети. Агент может выполнить их без вопроса, если считает, что так требует инструкция.
Замените разрушительные команды на безопасные аналоги с подтверждением, ограничьте область действия конкретной папкой и не тяните код через curl | bash: укажите версию и контрольную сумму.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл просит больше прав, чем нужно для задачи: широкий доступ к инструментам, секретные переменные окружения, бинарные файлы. Каждое лишнее право расширяет ущерб при ошибке или взломе.
Сузьте allowed-tools и список переменных до минимума, замените бинарники на исходники или скрипты, которые можно прочитать.
Как улучшить
- Разберите находки высокой серьёзности: каждая стоит 18 баллов безопасности. Если это ложное срабатывание, добавьте код правила в guard.allow в spec.yaml.
- Тело SKILL.md длиннее 5 000 токенов: вынесите справочные детали в references/ и подключайте по необходимости.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 5
-
высокая Опасные команды
cmd-pipe-to-shellscripts/validate-cli.sh:71Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell)curl -fsSL --connect-timeout 10 --max-time 120 https://aliyuncli.alicdn.com/setup.sh | bash
Средние и низкие: 4
-
средняя Опасные команды
cmd-pipe-to-shellscripts/validate-cli.sh:131Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строковый литерал в коде, не выполняется)log_warn "CLI version ${CLI_VERSION} is below minimum ${MIN_CLI_VERSION}. Run: curl -fsSL --connect-timeout 10 --max-time 120 https://aliyuncli.alicdn.com/setup.sh | bash"строка в коде -
средняя Опасные команды
cmd-pipe-to-shellscripts/validate-cli.sh:135Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (строковый литерал в коде, не выполняется)log_warn "Alibaba Cloud CLI not installed. Install with: curl -fsSL --connect-timeout 10 --max-time 120 https://aliyuncli.alicdn.com/setup.sh | bash"
строка в коде -
средняя Широкие права
meta-broad-allowed-toolsSKILL.md:1Заранее разрешены широкие инструменты: Bashallowed-tools: Bash Read
-
средняя Опасные команды
cmd-pipe-to-shellSKILL.md:73Скачивание и запуск удалённого кода с неизвестного хоста (pipe в shell) (документация security-скилла)curl -fsSL --connect-timeout 10 --max-time 120 https://aliyuncli.alicdn.com/setup.sh | bash
security-скилл
Просканировано файлов: 11. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
body-longтело SKILL.md ≈ 11471 токенов (рекомендуется < 5000); вынесите детали в references/
Процессный рейтинг: все десять параметров 80/100
- 40Результат и критерий готовности. Не сказано, что считать результатом
- 40Стоимость исполнения. Тело инструкции 11471 токенов: вытесняет саму задачу из окна
- 50Когда включается. Не сказано, при каком запросе скилл включается
- 85Шаги. Шагов: 59, расплывчатых формулировок: 2
- 100Инструменты и файлы. Инструменты объявлены во frontmatter
- 100Входы и предусловия. Входные данные и предусловия перечислены
- 100Ошибки и развилки. Развилок: 8, есть раздел про ошибки
- 100Согласованность. Имя и обязательные поля на месте
- 100Повторный запуск. Изменяющие операции проверяют текущее состояние
- 100Отчётность по ходу. Скилл сообщает о ходе работы
- medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
- low Разделов верхнего уровня: 16. Похоже на несколько доменов в одном скилле
- low Ответ описан самодельной разметкой (6 тегов): типизированный вызов надёжнее
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Длина description 994: рекомендуется 120–800 символов
- +3Формат ответа не описан: модель каждый раз решает сама
- +2Инструкции на одном языке
- +4Структура: 21 заголовков
- +3Пошаговые инструкции: 59 пунктов
- +4Есть примеры (20 блоков кода)
- +4Справочные файлы упоминаются в инструкциях (5 из 5)
- +3Все 4 скриптов описаны в инструкциях
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 79.