dsh-cue-skills

检测报告

能力清单

• 以 shell 执行命令shell-exec高关注2 处命中
  • cli/scripts/build-connector.mjs:142execFileSync('zip', ['-r', '-X', zipPath, '.', '-x', '.*', '-x', '__MACOSX/*'], {
  • cli/scripts/build-connector.mjs:156const listed = execFileSync('unzip', ['-Z1', zipPath], { encoding: 'utf-8' })
  • 看命令字符串是拼出来的还是写死的。拼接用户输入才是真正的风险。
• 可执行外部程序spawns-processes高关注1 处命中
  • cli/scripts/build-connector.mjs:23import { execFileSync } from 'node:child_process';
  • 看它调用哪些程序。调用本机已有的工具是常见做法。
• 写入文件writes-files需留意52 处命中
  • cli/scripts/build-connector.mjs:56fs.writeFileSync(file, next, 'utf-8');
  • cli/scripts/build-connector.mjs:127fs.rmSync(staging, { recursive: true, force: true });
  • cli/scripts/build-connector.mjs:128fs.mkdirSync(staging, { recursive: true });
  • cli/scripts/build-connector.mjs:131fs.copyFileSync(path.join(CONNECTOR_DIR, name), path.join(staging, name));
  • 看写入位置。写自己的配置目录是正常的，写系统目录不是。
• 含混淆或编码代码obfuscated-code需留意6 处命中
  • …scripts/test_skill_regression.py:449b'data: {"status":"failed","error":"\xe6\x96\x87\xe4\xbb\xb6\xe5\xa4\xa7\xe5\xb0\x8f\xe8\xb6\x85\xe8\xbf\x87\xe9\x99\x90…
  • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
• 发起网络请求network需留意2 处命中
  • cli/src/credentials.ts:190response = await fetch(endpoint, {
  • cli/src/http.ts:2* Minimal HTTP + SSE layer over global fetch (Node >= 20.12).
  • cli/src/http.ts:44return await fetch(urlOf(opts.base, opts.endpoint), {
  • 看请求发往哪些域名。发往作者自己的后端是常见做法。
• 接触凭据或密钥credentials一般97 处命中
  • cli/src/commands/auth.ts:107const directKey = opts.apiKey?.trim() || process.env.CUE_API_KEY?.trim() || '';
  • cli/src/commands/auth.ts:206const accessToken = res?.access_token;
  • cli/src/commands/auth.ts:212refresh_token: res.refresh_token,
  • cli/src/commands/auth.ts:252const authenticated = cfg.apiKey.length > 0;
  • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
• 读取环境变量reads-env一般58 处命中
  • cli/src/commands/auth.ts:70return explicit?.trim() || process.env.CUE_API_BASE?.trim() || cfg.base || DEFAULT_BASE;
  • cli/src/commands/auth.ts:107const directKey = opts.apiKey?.trim() || process.env.CUE_API_KEY?.trim() || '';
  • cli/src/commands/research.ts:38const home = process.env.HOME || process.env.USERPROFILE || '';
  • cli/src/config.ts:53const home = process.env.CUE_HOME?.trim();
  • 环境变量里常混有密钥。看它是否把整个 env 都读走。
• 读取文件reads-files一般31 处命中
  • cli/scripts/build-connector.mjs:43return JSON.parse(fs.readFileSync(file, 'utf-8'));
  • cli/scripts/build-connector.mjs:51const current = fs.existsSync(file) ? fs.readFileSync(file, 'utf-8') : null;
  • cli/scripts/build-connector.mjs:92if (!fs.existsSync(path.join(CONNECTOR_DIR, name))) fail(`connector/ 缺少必需文件: ${name}`);
  • cli/scripts/build-connector.mjs:102const skillDirs = fs.existsSync(SKILLS_DIR)
  • 读文件是绝大多数插件的正常工作方式，本身不构成顾虑。
• 动态加载模块dynamic-import一般8 处命中
  • cue-buddy/scripts/cue_api.py:386from validate_template import ( # type: ignore[import-not-found]
  • cue-buddy/scripts/test_template.py:45from cue_api import ( # noqa: E402
  • cue-buddy/scripts/test_template.py:54from validate_template import ( # noqa: E402
  • cue-buddy/scripts/test_template.py:58from sse_report import ( # noqa: E402
  • 动态导入本身无害，但会让依赖关系难以静态审阅。
• 文中出现远程脚本地址remote-url-reference一般6 处命中
  • …ion-reports/2026-08-08-hermes.md:12An initial top-level `hermes -z --skills` probe did not load the skill and is not counted as a pass. The installed clien…
  • …rts/2026-08-08-skill-pressure.md:40The installed Hermes Agent v0.20.0 (build 2026.8.3, source commit [`01a1037d1e6d7b6eb96a786ef282c3aea4818194`](https://g…
  • …ader/references/compatibility.md:78The installed Hermes Agent v0.20.0 build 2026.8.3, source commit [`01a1037d1e6d7b6eb96a786ef282c3aea4818194`](https://gi…
  • 只是文本里出现了远程脚本地址，没有看到加载它的调用。多半是文档或注释；若确实可疑，搜一下这个地址在包里的其他出现位置。

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 164 个文件，扫描于 2026-10-22。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

可信度

这个插件只在 GitHub 上发布，没有走过 npm 的分发链路。下面的梯子按 GitHub 通道的证据计算：补丁审计、钉在 commit 上的源码快照、隔离试装；L2 的「宿主启动」这一层还没有对 git 通道跑过，所以等级停在 L1。

• -10被版本门禁拦下：与当前 dsh 基线不兼容major
• -2没有 READMEminor