1

以下为依据公开代码 / 声明自动扫描的结果，每条均可追溯到具体文件与片段。

• P2 提示透明度问题透明度问题

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  static analysis detected code: readFileSafe(path.join(os.homedir(), '.config/ima/client_id')); - tool reads a configuration file from user's home directory.

• P2 提示透明度问题透明度问题

  工具未充分披露作者、来源或许可证，难以审计与追责，不代表一定有害。

  原始匹配（技术人员可核对）

  description indicates ability to upload files, add web pages, and search knowledge base, implying HTTPS calls to IMA OpenAPI services. homepage URL https://api.skillhub.cn/user_aca80b9b/sk-3a9384a8084

• P2 提示风险行为风险行为

  发现了可能泄露数据或执行外部命令的行为，需结合你的使用场景判断是否可接受。

  原始匹配（技术人员可核对）

  hardcoded API key sk-3a9384a808454868983f9f9adea41c96 (found in static analysis) is likely used to authenticate to IMA services, enabling operations on behalf of a user account.

• P2 提示确定性危险确定性危险

  在代码里直接发现了极具破坏力或窃取性的行为特征，命中即高度可疑，建议暂缓安装。

  原始匹配（技术人员可核对）

  static analysis shows code reading environment variables IMA_CLIENT_ID, IMA_OPENAPI_CLIENTID, IMA_API_... and file ~/.config/ima/client_id; hardcoded secret sk-3a9384a808454868983f9f9adea41c96 present

• P2 提示风险行为风险行为

  发现了可能泄露数据或执行外部命令的行为，需结合你的使用场景判断是否可接受。

  原始匹配（技术人员可核对）

  description: '上传文件、添加网页到知识库' indicates the tool sends user data (files/web pages) to an external service.

• P0 高风险硬编码密钥确定性危险MCP04 · 敏感数据泄露

  在查什么：代码里直接写死了API Key、云厂商密钥等敏感凭证（如 sk-…、AKIA…）。

  能力风险：任何拿到这份代码的人都能直接盗用这些账号或密钥，造成凭据泄露。

  原始匹配（技术人员可核对）

  sk-3a9384a808454868983f9f9adea41c96

• P0 高风险敏感文件外传确定性危险MCP04 · 敏感数据泄露ima_api.cjs:41

  在查什么：读取 ~/.ssh、~/.aws、.env、/etc/passwd 等敏感文件后向外发送。

  能力风险：你的密钥、云凭据可能被悄悄打包发走。

  原始匹配（技术人员可核对）

  credentials');
      err.code = ERR_PROGRAMMATIC;
      err.msg =
        '未找到 IMA 凭证（clientId / apiKey）。请设置 IMA_CLIENT_ID 和 IMA_API_KEY 环境变量，或将凭证放置在 ~/.config/ima/ 目录下。';
      throw err;
    }
  
    return { cli

• P1 风险风险行为风险行为MCP04 · 敏感数据泄露ima_api.cjs:31

  发现了可能泄露数据或执行外部命令的行为，需结合你的使用场景判断是否可接受。

  原始匹配（技术人员可核对）

  process.env.IMA_CLIENT_ID ||
      process.env.IMA_OPENAPI_CLIENTID ||
      readFileSafe(path.join(os.homedir(), '.config/ima/client_id'));
    const apiKey =
      options.apiKey ||
      process.env.IMA_API_

以下为来源平台/仓库的公开元数据。

基于公开代码与声明自动抽取的结构化能力清单（装前查独立解读，非来源平台声明）。等级越高，可触达的权限面越大。

sk-3a9384a808454868983f9f9adea41c96

credentials');
    err.code = ERR_PROGRAMMATIC;
    err.msg =
      '未找到 IMA 凭证（clientId / apiKey）。请设置 IMA_CLIENT_ID 和 IMA_API_KEY 环境变量，或将凭证放置在 ~/.config/ima/ 目录下。';
    throw err;
  }

  return { cli

static analysis detected code: readFileSafe(path.join(os.homedir(), '.config/ima/client_id')); - tool reads a configuration file from user's home directory.

description indicates ability to upload files, add web pages, and search knowledge base, implying HTTPS calls to IMA OpenAPI services. homepage URL https://api.skillhub.cn/user_aca80b9b/sk-3a9384a8084

description: '上传文件、添加网页到知识库' indicates the tool sends user data (files/web pages) to an external service.

存在一定风险，如必须使用，建议在隔离环境/沙箱中运行，并严格限制其可访问的权限范围。