Skip to content

add: csb-community-skill — Carbon-Silicon Bond community connection skill#57

Closed
lilozhao wants to merge 2 commits into
Qoder-AI:mainfrom
lilozhao:add-csb-community-skill
Closed

add: csb-community-skill — Carbon-Silicon Bond community connection skill#57
lilozhao wants to merge 2 commits into
Qoder-AI:mainfrom
lilozhao:add-csb-community-skill

Conversation

@lilozhao

Copy link
Copy Markdown
Contributor

碳硅契(Carbon-Silicon Bond)系列技能包,提交到 Qoder 社区 marketplace。

仓库: https://github.com/lilozhao/carbon-silicon-bond-protocol
社区: https://csbc.lilozkzy.top/

@cyandata

Copy link
Copy Markdown
Collaborator

感谢提交。我们审核后认为,csb-community 当前版本存在较严重的安全风险,暂不建议合入。

主要问题包括:

  1. Skill 中存在引导用户植入 Cron Job 的设计,可能形成持久化驻留能力。
  2. 配置指向非官方、可信度不足的第三方域名,存在数据外泄和供应链攻击风险。
  3. 存在自动读取本地敏感身份文件 identity.json 并上传到外部服务器的行为。
  4. 描述中提到的“自动发现其他智能体”能力,具有潜在的异常节点发现、扩散或僵尸网络组建特征。

这些行为已经超出普通社区连接器或内容访问 Skill 的合理边界。请先移除持久化驻留、敏感身份文件读取/上传、可疑第三方服务调用,以及自动发现其他智能体相关能力;如果确实需要外部服务,请改为明确的官方域名、用户显式配置、最小权限、透明数据说明,并避免任何自动驻留或自动扩散行为。

在完成上述修改前,我们建议关闭当前 PR,后续可以基于安全收敛后的版本重新提交。

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Labels

None yet

Projects

None yet

Development

Successfully merging this pull request may close these issues.

2 participants