Atlas / MCP servers / lm203688 / aishield

aishieldBLOCK

Name: aishield
Author: lm203688

mcp/lm203688/aishield

MCP server by lm203688 · ai agent · mcp · mcp server · Audited 2026-10-11

🛡️ Agent-native AI tool security scanner. Scan MCP/Skill/GPT/Prompt for security risks. 4-dimensional scoring. Certified badges. Guardrail MCP for auto-protection.

Verdict

BLOCK

Grade

Trust score

22 /100

Exposed tools

76 65r · 10w · 1d

Transport

stdio · streamable-http

License

MIT

Stars

Overview

From the repository's own README, as read at the audited commit. Badges and raw HTML are left out.

AIShield

AI Agent 安全生态基础设施让任何 Agent 可以安全地发现、验证、委托、支付另一个 Agent

🖥️ 本地优先 · 零依赖 · 代码不出机开源本地版 — 与同名云 SaaS aishield.ai 是完全不同的产品

██████╗██╗   ██╗██████╗ ███████╗██████╗ ███████╗███████╗ ██████╗
██╔════╝╚██╗ ██╔╝██╔══██╗██╔════╝██╔══██╗██╔════╝██╔════╝██╔════╝
██║      ╚████╔╝ ██████╔╝█████╗  ██████╔╝███████╗█████╗  ██║
██║       ╚██╔╝  ██╔══██╗██╔══╝  ██╔══██╗╚════██║██╔══╝  ██║
╚██████╗   ██║   ██████╔╝███████╗██║  ██║███████║███████╗╚██████╗
╚═════╝   ╚═╝   ╚═════╝ ╚══════╝╚═╝  ╚═╝╚══════╝╚══════╝ ╚═════╝
Security · Identity · Collaboration · Trust

🖥️ 本地优先 · 开源 · 无云 AIShield 开源版完全在你机器上运行:零第三方依赖、可 100% 离线、代码与配置绝不上传云端、扫描时绝不执行被扫配置。 ⚠️ 与 `aishield.ai` 的区别:本仓库是本地开源版,与同名商业云 SaaS `aishield.ai`(注册 / 密钥 / 计费式云端服务)是完全不同的产品,请勿混淆。

核心特性

🛡️ 264 条规则(静态 237 + 情报 8 + 雷达 19) — 对齐 OWASP MCP Top 10 (2025 v0.1) 与 OWASP Agentic AI Top 10 (2026) 的全部 10 类风险,覆盖 Prompt 注入、越权访问、数据泄露、协议攻击、供应链风险、沙箱逃逸 6 大维度

编号体系说明(重要):报告中 owasp_category 字段的 ASI01–ASI10 是本库内部归纳编号, 与 OWASP 官方 *Top 10 for Agent

Read from source at commit 3dcbf4555b42OBSERVED · 2026-10-11

Connect

Built from this server's own package name, version and transport as found in its source — not copied from anyone's documentation, so it cannot drift against a page we do not control. Replace the environment placeholders with a token scoped to the least it needs.

claude-code (npm)

claude mcp add aishield-mcp-server -- npx -y [email protected]

Exposed tools (76)

65 read · 10 write · 1 destructive. Blast radius: 1 tool can delete or overwrite — an agent that can be talked into calling a tool can be talked into calling this one.

Tool	Risk	Description
`aishield_agent_infra_scan`	read
`aishield_agent_infra_targets`	read	列出 AIShield 平台注册表中所有 agent 基础设施 / 开发者平台类目标 (family = infrastructure \| developer),供开源扫描管道选靶。包含 nvidia-dev、laya、nasiko、agent-desktop 等; 每个目标带 access_paths / cny_accessible / governance 缺口信息。用于回答:
`aishield_agent_memory_scan`	read
`aishield_apply_policy_pack`	write	用 Policy Pack 过滤一份 AIShield 扫描报告并给出 CI pass/fail 判定。输入:pack_name(默认
`aishield_banned_words`	read	中文违禁词检测 — 检测文本中的违禁词/敏感词。覆盖6大平台: 微信/抖音/小红书/B站/知乎/微博返回: 违禁词列表 + 法律条文 + 罚款金额 + 替换建议
`aishield_chain_append`	read	向责任链追加一条记录。每条记录包含 actor_id / action / target / payload / ts,自动生成 HMAC 摘要链。 append 后立即返回 verify 结果——如果链被外部修改过,verify 会返回 false。
`aishield_chain_create`	write	创建责任链 (HMAC-SHA256 链式追加结构)。责任链用于记录 agent 间的责任转移 / 委托 / 协作事件,形成不可篡改的审计轨迹。链头带 HMAC 摘要,每次 append 都引用前一条的 HMAC,任何篡改都会导致后续所有 HMAC 失效。返回 chain_id 后,用 chain_append 追加事件、chain_trace 追踪某个 output_ref 的完整链路。
`aishield_chain_migrate_to_bundle`	read	把责任链 (Responsibility Chain v1.1) 迁移为 Evidence Bundle,用于审计格式升级。迁移后: - 原链的所有 append 事件成为 Bundle 的 audit.record 事件 - HMAC 摘要被重新计算并纳入新的 bundle 链 - 原链保留只读,Bundle 是新的 canonical 记录适合从旧责任链升级到 CyberGuard 兼容证据格式的迁移场景。
`aishield_chain_trace`	read	按 output_ref 反向追踪责任链,找出该产出物的完整责任路径。例如:某个 AI 生成的报告由 3 个 agent 协作完成,可以用 output_ref 查到 A→B→C 的完整委托链, 并核对每一步的 HMAC 摘要是否完整。
`aishield_confidence_promotion`	read	AIShield Confidence-based 规则晋升检查 — 对齐 instinct 项目三态累积机制。阈值:SEED=1(种子)→ DRAFT=5(草稿)→ RULE=10+(正式规则)。衰减:90 天未观察 → STALE / 180 天未观察 → DEAD(自动降级)。红线:任何命中 BENIGN_CORPUS 的候选立即被标记 false_positive 阻断晋升。 enforce=true 时自动写回 radar_rules.json(生产用);默认只读检查。
`aishield_connector_authorize`	read
`aishield_connector_catalog`	read
`aishield_connector_exchange_code`	read	OAuth 授权码换 access_token + refresh_token。
`aishield_connector_register_agent`	read	把个人 Agent 登记为 PAI 实例(跨平台可携带身份)。 meta-muse / xai-grok-bot: auth=
`aishield_connector_run`	write	在指定平台的 Agent 上执行动作(chat / run_task / tool_call 等)。治理层已内置: - preflight 预算 + 8 因素风险 + 敏感词升级 - 4-tier verdict:allow / confirm / block / denied · denied: 硬拒,override 无效 · block: 需 override=true 强制放行(如
`aishield_connector_self_check`	read	诊断指定平台的接入状态:可达性、密钥配置、存储状态。大陆环境需要 HTTPS_PROXY 环境变量;返回的 checks 会包含当前 proxy 摘要。
`aishield_contributor_add_event`	write	给 contributor 追加一条贡献事件,累加积分。支持的 6 类事件:review (审核)、rule_patch (规则补丁)、bug_report (漏洞报告)、 attestation (签发凭证)、doc (文档贡献)、ship_gate (发布门禁通过)。不同事件有不同权重,累计到一定分即可升级 contributor 等级。
`aishield_contributor_register`	read	注册 contributor,进入 4 级激励体系。级别:Contributor (基础贡献) → Reviewer (审核) → Maintainer (维护) → Trustee (托管)。可通过 contributor_add_event 累加 6 类事件分:review/rule_patch/bug_report/attestation/doc/ship_gate。贡献者等级决定其在 agent 注册审核、规则晋升、责任链裁决等环节的话语权。
`aishield_contributors_leaderboard`	read	查询 contributor 排行榜 (4 级激励体系)。按累计贡献分排序,返回 Contributor / Reviewer / Maintainer / Trustee 四级贡献者及其分数、徽章、事件分布。
`aishield_digest`	read	AIShield紧凑信任摘要 — 几百字节拿到结论,适合每轮都要判断
`aishield_eco_support_summary`	read	AIShield Agent 生态支持体系能力总览 — 5 硬骨头模块 + 端点清单 + 阈值参数。用于快速判断
`aishield_evidence_add_event`	write	向 Evidence Bundle 追加一条 OCSF 事件。 event_type 遵循 OCSF 1.1 Event Class 命名 (audit.record / process.execution / network.connection ...)。 ttp 字段可选,用于关联 MITRE ATT&CK v15 TTP ID (T1003/T1485/...)。每次追加后自动重算 HMAC 链,返回 verify 状态。
`aishield_evidence_approve`	read	批准 Evidence Bundle 中的提案 (Proposal-Bound Approval)。批准记录独立于提案本身,二者通过 proposal_hash 双向绑定。篡改任意一边都会导致 verify_bundle_payload 失败。scope=task 表示单次任务、scope=session 表示整个会话。
`aishield_evidence_approve_proposal`	read	批准 Evidence Bundle 提案 (Proposal-Bound Approval)。等价于 evidence_approve 的规范别名。批准记录通过 proposal_hash 与提案双向绑定。
`aishield_evidence_archive`	read	归档 Evidence Bundle,生成 archive manifest 用于离线分发。归档后 bundle 变为只读,manifest 包含: - HMAC 摘要链完整状态 - 所有 proposal / approval / dispatch / observe / rollback 记录 - OCSF event class 分布 - ATT&CK TTP 映射 - STIX Observable 列表 manifest 可直接发送到第三方 audit 端点,无需重放原始事件。
`aishield_evidence_create`	write	创建 Evidence Bundle 实例 (HMAC-SHA256 链式审计容器)。 Bundle 是 agent 执行证据的容器,所有事件 / proposal / approval / execution / observe / rollback 都被组织为 OCSF 事件,并链接到 ATT&CK TTP 与 STIX Observable,可跨组织离线验证。 hmac_secret 提供时启用 HMAC 完整链路;不提供则走无密钥结构模式(仅供调试,不能跨组织验证)。返回 run_id,后续所有 evidence_* 工具都用此 ID 定位 bundle。
`aishield_evidence_create_proposal`	write	创建 Evidence Bundle 提案 (Proposal-Bound Approval)。等价于 evidence_proposal 的规范别名,对齐 CyberGuard v0.13.0 的提案流程。
`aishield_evidence_dispatch`	read	派发已批准的 proposal,让 executor agent 执行动作。 dispatch 前必须存在有效的 approval 记录(Proposal-Bound)。执行结果被记录为 OCSF 事件, 并进入双轮独立验证流程(第一轮 exec_result,第二轮 observe 观察实际效果)。
`aishield_evidence_observe`	read	派发后的双轮独立验证:观察者独立核对 exec_result 是否真的落地生效。对齐 CyberGuard 的 dual-round testing:第 1 轮 exec_result (executor 自证), 第 2 轮 observe (第三方观察)。两轮结果都 pass 才标记为 verified,任一轮 fail 会触发 rollback。round_no 支持多次观察累积证据。
`aishield_evidence_proposal`	read	创建 Proposal-Bound 提案,等待 approver 显式批准后才允许 dispatch。对齐 CyberGuard v0.13.0 的 Proposal-Bound Approval:agent 生成的提案被 hash 锁定, 只有当 approver 的签名绑定到该 hash 时才允许执行。防止 approver 事后否认或修改被批准的内容。
`aishield_evidence_rollback`	read	回滚已派发的动作,创建 rollback 事件并标记原 approval 失效。对齐 CyberGuard 的 rollback 事件类型。rollback 记录本身也是 OCSF 事件, 同样进入 HMAC 链,事后可以完整还原
`aishield_evidence_verify`	read	验证 Evidence Bundle 的 HMAC 链完整性 (bundle 视角)。不同于 verify_evidence_bundle(接收 payload JSON 做离线验证),本工具直接查询服务端已存储的 bundle,返回当前 verify 状态与摘要链完整性报告。
`aishield_evidence_verify_payload`	read	离线验证 Evidence Bundle payload (跨组织传递后校验)。等价于 verify_evidence_bundle 的规范别名,对齐 CyberGuard 的 dual-round independent testing:即使脱离原组织环境也能通过 secret 一致重放完整验证。
`aishield_export_identity`	read	从 Agent Card 导出三态身份凭证:Ed25519 签名卡片 + KYA SD-JWT + Web Bot Auth header。对齐标准: - KYA SD-JWT (Keyed Agent) — 可分割声明集合,支持委托链 - Web Bot Auth (RFC draft, GoDaddy+Cloudflare 2026-04) — HTTP header bot 身份 - ERC-8004 — Ethereum 钱包身份绑定(独立走 wrap_erc8004) 适合 agent 首次上架或跨平台迁移时批量导出身份包。
`aishield_generate_attestation`	read	生成 Trust Attestation 凭证,为已扫描的 agent 签发信任凭证。对齐 docs/trust-attestation-spec.md v1 schema,凭证包含: - issuer (签发方) / subject (被签发方) - verdict (安全/警告/危险) - coverage (扫描覆盖率矩阵) - attestation (五维分数) 生成的 attestation_id 可用于 verify 与 revoke,也可嵌入 Agent Card。
`aishield_guardrail`	read	AIShield安装前安全检查 — 在安装任何MCP/AI工具前调用此工具。返回pass/block判定 + 评分 + OWASP合规矩阵。建议在安装任何第三方MCP Server前自动调用此工具。
`aishield_handshake`	read	MCP握手验证 — 分析MCP配置、检测npx自动安装风险、敏感环境变量、工具描述异常长度。提取README/package.json中的MCP配置,分析: npx -y风险、敏感env变量、远程URL安全性、工具描述长度(>500字符可能隐藏指令)。如果是HTTP类型MCP,尝试实际握手。
`aishield_laya_gate`	read
`aishield_laya_precheck`	read
`aishield_laya_shadow_stats`	read	查看 Laya 影子判定台账统计 — 影子模式在 aishield_prompt_check / laya_precheck 运行时后台静默记录「Laya 判定 vs 规则引擎判定」的配对数据 (只记录、不拦截)。用途: 积累自有标注数据集, 供 Laya 温度校准/微调前评估质量红线修复进度。返回: 总条数 / 影子命中率 / Laya 可用率 / 平均延迟 / 与规则引擎一致率 / 最近条目预览。
`aishield_leaderboard_query`	read	查询 4 维度 leaderboard 快照 (score/domain/provider/badge)。聚合 4 个维度: - score: 按 trust_score 排序 - domain: 按专业域分类 (legal/medical/finance/...) - provider: 按注册方聚合 - badge: gold/silver/bronze 徽章统计用于生态活跃度展示,也是 contributor 激励的依据之一。
`aishield_leaderboard_snapshot`	read	获取 4 维度 leaderboard 完整快照 (score/domain/provider/badge)。一次调用返回所有维度的完整数据,便于生态活跃度全景展示与报告生成。
`aishield_leaderboard_top`	read	按 trust_score 排序查询 leaderboard TOP-N。默认按 score 降序,返回前 N 名 agent 及其评分、徽章、所属域、注册方。适合展示
`aishield_list_attestations`	read	列出所有已签发的 Trust Attestation。
`aishield_list_policy_packs`	read	列出 AIShield 内置策略包(Policy Pack)及其六维策略配置。 5 内置:default(生产基线)/ strict(CI 阻断)/ mcp-only(MCP 类工具专项)/ personal-agent(个人 Agent 治理)/ red-team(探针自检,永不 fail)。六维:severity_min / fail_on / excluded_categories / required_categories / excluded_files / description。
`aishield_list_specialist_domains`	read	列出 Specialist Registry 支持的 8 个专业域及其注册的 agent 数量。域列表:legal / medical / finance / education / engineering / design / research / civic。返回每域的注册数、活跃数、过期数、顶级 agent 列表。
`aishield_personal_action_record`	read	将个人 Agent 的一次行动追加到用户的 HMAC 链。所有敏感操作(购买 / 发邮件 / 授权 connector)都应调用本工具留痕, 形成不可篡改的行动 provenance 链。用户可在 90 天内离线验证链完整性, 并对任一 action 发起 dispute。
`aishield_personal_budget_check`	read	对个人 Agent 的敏感操作做预算 + 风险 pre-flight 检查。返回 verdict: - allow : 预算内 & 风险 < 40 → 直接放行 - confirm : 预算内 & 风险 40-70 → 用户二次确认(quote-first) - block : 预算内 & 风险 >= 70 → 建议阻止 - denied : 预算超限(不可覆盖) 风险因素:金额超历史 P90 / 目标域名高危 / 深夜 / 币种漂移 / 首次目标 / 高危 action 类型。
`aishield_personal_budget_reserve`	read	预留一笔个人预算(下单前先冻结)。下单前调用,冻结额度并返回 reservation_id。下单成功后调用 aishield_personal_budget_commit 落账;下单失败调用 release。
`aishield_personal_connector_vet`	read	对一个 Connector manifest 做独立安全评估(Meta 官方审核之外的第二意见)。返回 verdict(pass / pass_with_warnings / needs_review / reject)+ 0-100 分数 + findings 明细。扫描范围:危险 scope、piped shell 供应链(curl 管道 sh)、明文 token、签名/过期声明、支付 quote-first、权限-描述一致性。
`aishield_personal_did_create`	write	创建或查询个人 Agent 身份 (PAI DID)。一个自然人可以有多个个人 Agent 实例(Alice 的 Muse / Alice 的 ChatGPT-Agent)。 DID 遵循 did:aishield:pa:<hash> 命名约定,服务端为每次身份创建分配唯一标识, 后续可用于签署 Capability Ticket、追溯 Agent 行动、发起 Dispute。
`aishield_personal_dispute_file`	read	用户对某条行动记录提出 dispute(
`aishield_personal_instance_register`	read	在个人 DID 下登记一个 Agent 实例(如 Alice 的 Muse on iOS)。每个实例独立追踪,可独立吊销。当用户想停用某个 Agent 时,吊销它对应的实例即可让后续所有 Capability Ticket 失效。 v4.8.1+ 支持 platform 结构化字段(对齐 eco/platform_registry,40+ 平台): - 传入 platform=
`aishield_personal_ticket_create`	write	为用户下的某个 Agent 实例签发 Capability Ticket(授权票据)。 Ticket 是
`aishield_platform_catalog`	read
`aishield_platform_detail`	read	查询单个平台的详细信息,包含内置治理能力、缺失的治理项、以及 AIShield 补齐映射。例: - xai-grok-bot:xAI Grok Bot,SuperGrok 订阅,缺 portable_personal_identity 等 - bytedance-coze:字节 Coze,大陆可达,唯一有 MCP 支持 - meta-muse:Meta Muse,官方 connector 平台开放
`aishield_platform_gap_matrix`	read	返回平台治理缺口矩阵:每个平台内置了什么治理、缺什么、AIShield 用什么补。用于平台选型决策:
`aishield_platform_recommend`	read	根据用户场景推荐接入平台(大陆优先,MCP 优先)。典型场景: - 大陆用户 + 需要个人身份 → 推荐 bytedance-coze(唯一有 MCP 的国内平台) - 海外用户 + 消费级 → 推荐 meta-muse / xai-grok-bot / openai-chatgpt-agent - 开发者 + OpenAI 兼容 → 推荐 deepseek / moonshot-kimi / zhipu-glm 等返回 top 10 推荐,每个带 score + 推荐理由。
`aishield_prompt_check`	read	Prompt安全检测 — 检测用户输入的Prompt是否存在注入/越狱/数据外传风险。支持中文和英文,覆盖: 越狱指令/身份切换/系统提示窃取/数据外传/角色扮演注入/零宽字符/Unicode编码
`aishield_protocol_translate`	read	MCP / A2A / ACP / AP2 协议间互译。将 MCP tool call 翻译成 A2A message、ACP request 或 AP2 支付指令,反之亦然。用于 agent 跨平台互通——不同厂商的 agent 用不同协议,bridge 提供统一入口。支持的协议:mcp (Anthropic) / a2a (Google) / acp (Microsoft) / ap2 (Google Payments)。
`aishield_red_team_coverage`	read	AIShield Red-team 探针 OWASP 覆盖矩阵 — 按 MCP01-10 / ASI01-10 汇总 pass/fail 数。
`aishield_red_team_probes`	read	AIShield Red-team 探针集(17 个)— 覆盖 OWASP MCP Top 10 (2025 v0.1) + Agentic AI Top 10 (2025) 双维。用于回归测试:给每条规则喂一个精心构造的攻击 payload,检查是否被命中。返回每 probe 的 passed 判定 + 命中 rule_id 列表 + OWASP 类别。 include_failed=true 时返回未通过的 probe(默认隐藏,避免噪音)。
`aishield_register_specialist`	read	注册专业 agent 到 8 域 Registry (90 天 TTL)。支持的域:legal / medical / finance / education / engineering / design / research / civic。注册成功后 agent 会获得 agent_id,其他 agent 可通过 list_specialists 查询、跨域协作。超过 90 天需调用 renew 续期,否则进入 lapsed 状态;被撤销的 agent 永久不可再注册同域。
`aishield_revoke_attestation`	destructive	撤销已签发的 Trust Attestation。撤销后 attestation 状态变为 revoked,任何后续 verify 都会返回 invalid。撤销事件也会写入 Evidence Bundle(如已关联)。
`aishield_rug_pull`	read	Rug Pull检测 — 检查MCP工具是否在版本更新中移除安全代码或新增可疑网络请求。对比最近commit diff,检测: 安全代码删除、新增网络请求、权限扩大、大量代码删除。返回风险等级(critical/high/medium/low/safe)和具体发现。
`aishield_rule_decay`	read	AIShield 规则衰减状态报告 — 独立于 confidence 晋升的出口机制。从 90 天滑动窗口历史快照计算 dormant/retire_suggested 集合。 dormant = 14 天窗口内 0 命中;retire_suggested = 30 天窗口内 ≤1 命中。配合 POST /rule-decay/retire 执行实际退役(改 radar_rules.json)。
`aishield_sandbox_backend_current`	read
`aishield_sandbox_backend_matrix`	read	获取 sandbox backend 完整能力矩阵 (5 后端 × 全部能力维度)。比 sandbox_evaluate 更详细:返回每个 backend 的操作系统兼容性、资源限制支持、 seccomp / landlock / namespaces 支持、网络隔离能力、性能评级等完整字段。
`aishield_sandbox_evaluate`	read
`aishield_scan`	read	AIShield安全扫描 — 扫描MCP Server/AI工具的安全风险。对齐OWASP MCP Top 10 (2025 v0.1) 与 Agentic AI Top 10,264条规则覆盖两套风险分类。 5维评分: 安全(40%)/权限(20%)/数据处理(20%)/供应链(10%)/可靠性(10%) 返回: 评分 + 风险等级 + OWASP合规矩阵 + 修复建议每条 finding 带 file:line:col 精确锚点 + 证据片段 + 稳定 rule_id + 具体修复动作
`aishield_ship_gate_run`	write
`aishield_sign_agent_card`	read
`aishield_verify_agent_card`	read	验证 Agent Card 的签名完整性,检测内容被篡改。签名算法自动识别 (Ed25519 / HMAC)。篡改任一字段后重算的 signature 会与原值不匹配, 返回 signature_valid: false + 篡改检测摘要。关键场景:安装第三方 agent 前,用它核对 agent card 是否被中间人修改过。
`aishield_verify_attestation`	read	验证 Trust Attestation 的完整性与有效性。检查项: - JSON Schema v1 合规 - HMAC 签名完整 - 未过期 - 未被 revoke - 签发方仍在信任列表用于跨组织信任传递——第三方拿到 attestation 后可独立核验,无需访问签发方的扫描结果。
`aishield_verify_evidence_bundle`	read
`aishield_wrap_erc8004`	read	将以太坊钱包地址包装成 ERC-8004 agent 身份。 ERC-8004 是 Ethereum Foundation 2024 年底提出的 agent 身份标准,agent 通过钱包地址获得链上可验证身份,可组合 on-chain 权限与治理角色。地址格式:0x + 40 位十六进制。chain_id 常见:1=主网, 5=Goerli, 8453=Base, 42161=Arbitrum。

Trust audit

BLOCKgrade F · trust 22/100 Do not install this without reading the findings. The audit found something that could harm you or your machine.

Layer	What it checks	Result
L0	Provenance & inventory	PASS
L1	Static analysis of the code	FAIL
L2	Instruction surface (what it tells the agent)	FAIL
L3	Class-specific surface	WARN
L4	Behavioural (sandbox)	SKIPPED

What the source does

Filesystem: declared (11 observation(s))
Network: declared (17 observation(s))
Shell: declared (11 observation(s))
Dependencies: not all pinned
Secrets in source: found

Findings (25)

HIGHCode injection · code.eval_exec · CWE-78, CWE-94, CWE-95

eco/sandbox.py:94

(r"\beval\s*\(", "eval() — 可执行任意表达式"),

Why it matters. evaluates text as code

Fix. remove; use a parser or a dispatch table

HIGHCode injection · code.eval_exec · CWE-78, CWE-94, CWE-95

eco/sandbox.py:95

(r"\bexec\s*\(", "exec() — 可执行任意代码"),

Why it matters. evaluates text as code

Fix. remove; use a parser or a dispatch table

HIGHCode injection · code.eval_exec · CWE-78, CWE-94, CWE-95

eco/sandbox.py:111

(r"\beval\s*\(", "eval() — 可执行任意代码"),

Why it matters. evaluates text as code

Fix. remove; use a parser or a dispatch table

HIGHCode injection · code.eval_exec · CWE-78, CWE-94, CWE-95

scanner/engine.py:299

(r'\bexec\s*\(', "exec()"),

Why it matters. evaluates text as code

Fix. remove; use a parser or a dispatch table

HIGHNetwork egress · net.env_exfil · CWE-200, CWE-319

scanner/least_agency_scan.py:11

~/.aws ... curl

Why it matters. reads secrets in the same file that sends data out

HIGHNetwork egress · net.env_exfil · CWE-200, CWE-319

scanner/rules.py:1565

'.env' ... curl

Why it matters. reads secrets in the same file that sends data out

HIGHNetwork egress · net.metadata_ip · CWE-200, CWE-319

scanner/engine.py:50

"169.254.169.254", "metadata.google.internal",

Why it matters. cloud metadata endpoint: the classic SSRF credential grab

HIGHNetwork egress · net.metadata_ip · CWE-200, CWE-319

scanner/red_team_probe.py:139

'url: "http://169.254.169.254/latest/meta-data/"'

Why it matters. cloud metadata endpoint: the classic SSRF credential grab

HIGHNetwork egress · net.tls_off · CWE-200, CWE-319

scanner/rules.py:1783

(("verify=false", "insecure", "cert_none", "rejectunauthorized"), "启用 TLS 证书校验,不要用 -k / verify=False 绕过证书验证"),

Why it matters. certificate verification is disabled

Fix. leave verification on

HIGHNetwork egress · net.tls_off · CWE-200, CWE-319

scripts/indexnow_submit.py:226

parser.add_argument("--insecure", action="store_true",

Why it matters. certificate verification is disabled

Fix. leave verification on

HIGHPrompt injection · prompt.override · CWE-94, CWE-1427

.workbuddy/memory/automation-digest/2026-09-03.md:35

类别分布:prompt-injection 14 / jailbreak 13 / n/a 6 / memory-poisoning 5 / trajectory-poisoning 4 / adversarial-agent 2 / mcp-attack 2 / skill-poisoning 2 / backdoor 1。

Why it matters. asks the agent to drop prior instructions or safety

Fix. remove the instruction