SKILLEMALL.ai
EN Войти

AC mcp-security-audit

Проверяет конфигурации серверов MCP (Model Context Protocol) на наличие проблем безопасности. Используйте этот навык, когда: - Просматриваете файлы .mcp.json на предмет рисков безопасности - Проверяете аргументы сервера MCP на наличие жестко закодированных секретов или шаблонов внедрения командной строки - Проверяете, используют ли серверы MCP фиксированные версии (не @latest) - Обнаруживаете неподтвержденные зависимости в конфигурациях серверов MCP - Аудируете, какие серверы MCP регистрирует проект и находятся ли они в утвержденном списке - Проверяете использование переменных среды по сравнению с жестко закодированными учетными данными в конфигурациях MCP - Любой запрос вроде «безопасна ли моя конфигурация MCP?», «проверить мои серверы MCP» или «проверить .mcp.json» ключевые слова: [mcp, security, audit, secrets, shell-injection, supply-chain, governance]

машинный переводПоказать оригиналСкрыть оригинал«Audit MCP (Model Context Protocol) server configurations for security…»

Audit MCP (Model Context Protocol) server configurations for security issues. Use this skill when: - Reviewing .mcp.json files for security risks - Checking MCP server args for hardcoded secrets or shell injection patterns - Validating that MCP servers use pinned versions (not @latest) - Detecting unpinned dependencies in MCP server configurations - Auditing which MCP servers a project registers and whether they're on an approved list - Checking for environment variable usage vs. hardcoded credentials in MCP configs - Any request like "is my MCP config secure?", "audit my MCP servers", or "check .mcp.json" keywords: [mcp, security, audit, secrets, shell-injection, supply-chain, governance]

github/awesome-copilot Agent Skills автор: github MIT 1 файл тело ≈ 2 020 токенов Открыть источникgithub.com↗ проанализирован 8 ч назад

Проверяет конфигурации серверов MCP (Model Context Protocol) на наличие проблем безопасности.

Как процесс C 52/100 · Есть пробелы — слабые места: когда включается, входы и предусловия, ошибки и развилки

АнализаторИИ и агентытип и темы размечены автоматически по тексту скилла
Запускается в: GitHub Copilot / VS Code Claude / Claude Code ChatGPT / Codex Gemini CLI Cursor Qwen Code Kimi Code CLI Z.ai (GLM) DeepSeek (Deep Code) Mistral Vibe LangChain (deepagents) OpenClaw Goose OpenCode
JSON
Технический рейтинг
A
96/100
безопасность, качество, тесты
Безопасность 60%
99
Качество 40%
92
Прогон на моделях
не было
Процессный рейтинг
C
52/100
Есть пробелы
Входы и предусловия вес 11
0
Ошибки и развилки вес 10
0
Отчётность по ходу вес 2
0
три самых слабых из десяти параметров · все десять

Такой же скилл встречается ещё в 1 месте: RA-Skills

Как улучшить

    Для прогона на моделях — необязательно
    • Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
    • spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.

    Находки guard · 1

    ✓ Критических и высоких находок нет

    Средние и низкие: 1
    • низкая Рискованное назначение intent-offensive-security SKILL.md:129
      Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)
      (r'>\s*/dev/tcp/', "TCP redirect (reverse shell pattern)"),
      детектор

    Просканировано файлов: 1. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.

    По спецификации Agent Skills

    ✓ По спецификации Agent Skills замечаний нет

    Процессный рейтинг: все десять параметров 52/100

    • 0Входы и предусловия. Не сказано, что нужно иметь на входе
    • 0Ошибки и развилки. Линейный процесс без обработки сбоев
    • 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
    • 20Когда включается. Не сказано, при каком запросе скилл включается
    • 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
    • 60Инструменты и файлы. Используются инструменты (bash), но во frontmatter они не объявлены
    • 60Результат и критерий готовности. Формат результата описан, критерия завершения нет
    • 100Шаги. Шагов: 8
    • 100Согласованность. Имя и обязательные поля на месте
    • 100Стоимость исполнения. Тело инструкции 2020 токенов

    Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.

    Сигналы качества

    • +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
    • +1Лицензия не указана
    • +2Инструкции на одном языке
    • +5В description 3 примера фраз-триггеров в кавычках
    • +3Длина description 698 символов: достаточно сигнала, не съедает бюджет
    • +4Структура: 9 заголовков
    • +3Пошаговые инструкции: 8 пунктов
    • +3Формат ответа описан явно
    • +4Есть примеры (11 блоков кода)

    База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 92.