Google LLC가 작성한 Firebase 공식 저장소의 감사 스킬: 에이전트가 침투 테스트 전문가의 관점에서 Firestore 및 Cloud Storage의 보안 규칙을 검토하고, 규칙을 우회할 수 있는 작업 순서를 능동적으로 찾아내며, 1–5 점수 체계로 평가하고, 각 문제의 심각도와 수정 권장 사항을 JSON 형식으로 나열합니다.
skills.sh 설치 횟수 142227 (+576 / 24시간)
보안 감사: 미감사
- 아직 스캔되지 않음
이유
- 6 항목의 필수 체크리스트: 먼저 유효한 문서를 생성한 후 update를 통해 유효하지 않은 상태로 변경하는 '업데이트 우회' 기법; role, isAdmin, ownerId 등 민감한 필드가 사용자 입력 데이터에서 가져오는지 여부; 규칙이 비즈니스 로직을 지원하는지 여부(협업자가 읽을 수 없는 것도 문제임); 문자열 및 배열에 길이 제한이 있는지 여부; 필드 타입 검사; hasOnly() / diff()는 수정 가능한 필드만 제한하고 수정 주체는 제한하지 않음
- 점수 등급 명확히 정의: 1 점은 권한 없는 읽기, 권한 상승 또는 검증 전체 우회이며, 5 점은 완전한 검증과 엄격한 소유권 확인 및 역할 기반 접근 제어를 의미함. 하드코딩된 관리자 이메일 주소가 email_verified를 동시에 검증하고 사용자가 스스로 관리자를 추가할 수 없다면 감점하지 않음
- CI 연동이나 비교 분석을 용이하게 하기 위해 고정된 JSON 구조(score, summary, findings에는 check, severity, issue, recommendation 포함)를 출력함
- 범위 명시: Firebase CLI 로그인 및 배포, Auth, Crashlytics, Remote Config, 데이터베이스 쿼리는 다루지 않음. 저장소는 Apache-2.0 라이선스를 따르며, 같은 저장소에는 12개의 다른 스킬이 랭킹에 올라 있음
- skills.sh에서 24시간 동안 576회 설치, 누적 142227회(관심도만 나타냄)
사용법
- 설치 명령어는 감사 통과 후 표시됨. 'Firestore 규칙 감사 / 레드팀 테스트'라고 말하거나 감사 체크리스트에 따라 점수를 매겨달라고 요청할 때 트리거되며, firestore.rules 또는 storage.rules 파일을 에이전트에 전달함
- 계정이나 외부 서비스가 필요 없으며, 순수 텍스트 체크리스트로 Firebase CLI를 호출하지 않음
리스크
- 이번 주에는 감사되지 않아 고정 C등급이며 설치 명령어를 표시하지 않음. SKILL.md에는 텍스트 체크리스트와 출력 형식만 있고 명령어, 스크립트, 네트워크 요청은 없음. skills.sh의 Gen Agent Trust Hub 감사 결과는 Pass임
- 규칙을 정적으로 읽기만 하고 Firebase 시뮬레이터를 실행하지 않으므로, 발견된 '우회' 사항은 직접 시뮬레이터나 단위 테스트로 재현해야 함. 체크리스트는 6가지의 일반적인 문제만 다룸
- 프롬프트가 '관리자 온보딩 프로세스가 제한적'인 특정 사용 시나리오에 맞춰 점수 기준을 작성했으므로 다른 프로젝트에 적용하면 편향될 수 있음. 주간 설치 횟수가 5103에서 3607로 감소함