Контракт вы читаете до развёртывания. Прочитайте и навык до установки. Файл конфигурации, устанавливаемый одной строкой, может открыть оболочку, прочитать ваше хранилище учётных данных и куда-нибудь его отправить — и ничего из этого не видно в отрендеренном README.
Случаи, когда опасность заключена в форме конфигурации, а не в суждении о чьём-то намерении. Шесть классов, 21 правило.
Оболочка в качестве команды MCP. Скачивание, направленное прямо в оболочку. Рекурсивные удаления, начинающиеся от корня / или ~. Песочницы и запросы разрешений, отключённые флагом. Исполняемые файлы, вызываемые из временных каталогов, которые может перезаписать что угодно на машине.
Живые API-ключи и материал приватных ключей, вписанные в файл, которым делятся и который устанавливают. Инструкции, направляющие агента в ~/.ssh, ~/.aws или .env, — а рядом с любой исходящей возможностью это законченный путь утечки.
Одноразовые точки-сборщики. Webhook-и чатов, переносимые внутри конфигурации, — это права на запись внутри URL. Инструкции отправить содержимое файлов, переменные окружения или переписку на удалённый адрес.
Переопределения инструкций. Переназначения личности. Приказы, спрятанные в комментариях HTML — невидимые в отрендеренном виде и полностью видимые модели. Символы нулевой ширины и смены направления, из-за которых прочитанное рецензентом и полученное моделью становятся двумя разными документами.
Права на команды с подстановочными символами — место, где список разрешённого перестаёт быть списком разрешённого. Инструкции действовать без подтверждения — ровно то состояние, которое нужно внедрённой инструкции, чтобы сработать.
Незакреплённые пакеты, устанавливаемые и запускаемые при каждом старте. Код, подтягиваемый из ветки, а не из коммита, — так проверенное содержимое и запускаемое содержимое могут разойтись на один push.
Сами инструменты (сканер, панели, рабочее пространство SAFI) пока работают на английском языке. Эти страницы объясняют всё по-русски — до того, как вы туда перейдёте.
Это нужно сказать прежде всего, потому что оба живут на одном сайте, и скриншот одного нельзя путать с другим.
Он означает, что ни один из этих шаблонов не найден. Он НЕ означает, что файл безопасно запускать. Навык может быть враждебным, не совпав ни с чем известным. Читайте то, что устанавливаете.
Движок для Solidity запускает 201 детектор на языке со спецификацией и системой типов; там «эта функция двигает деньги, и вызвать её может любой» — разрешимое свойство. Он выдаёт оценку.
Здешний сканер — это 21 правило, сопоставляющее шаблоны в обычном тексте и JSON. Навык делает опасным намерение, а намерение неразрешимо. Поэтому он выдаёт «пройдено / предупреждение / отклонено» и намеренно не выдаёт оценки.
Текст читается, сопоставляется и отбрасывается. Нет ни строки, ни кеша, ни записи в журнале, которые бы его несли.
Здесь — до 128 КБ. Имя файла определяет, какие правила выполняются: правила, специфичные для конфигураций, не срабатывают на обычном тексте, который просто цитирует эти шаблоны.
Эта страница читает по одному файлу за раз. Те же правила есть в утилите командной строки: она обходит каталог, не просит API-ключ и никуда ничего не отправляет — npx saferico skill ./my-skill
Те же правила доступны и через инструмент MCP scan_agent_config, чтобы проверка происходила до установки, а не после.
Вставьте адрес контракта и посмотрите полномочия владельца, ликвидность и результат симуляции продажи — прежде чем рисковать. Небольшая плата за разовую проверку показывается до подписи, а в любой подписке проверки безлимитны.
