registry / markhub-local-agent / 0.1.1

markhub-local-agent@0.1.1

MarkHub 로컬 에이전트 데몬 — 유저 컴퓨터의 claude code / codex 로 브라우저 유즈 잡을 실행

Static Scan Results

scanned 1d ago · by rust-scanner

Static analysis flagged 13 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessEnvironmentVarsFilesystemNetworkShell

Supply chain

HighEntropyStringsUrlStrings

Manifest

NoLicense

scanned 12 file(s), 40.7 KB of source, external domains: www.apple.com

Source & flagged code

3 flagged

dist/service.jsView file

Lines 1-29javascript

1/**

2 * 시스템 등록 — 로그인 시 자동 실행.

3 * - macOS: launchd LaunchAgent (~/Library/LaunchAgents), RunAtLoad+KeepAlive, 즉시 시작.

4 * - Linux: systemd --user 서비스, enable --now 로 즉시 시작.

5 * - Windows: 시작프로그램 폴더에 .cmd 배치 — 다음 로그인부터 적용.

6 *

7 * 서비스는 headless `run`(자동 로그인 창 없음)으로 돈다. 무인 데몬이 임의로 브라우저 창을 띄우지 않게

8 * 하려는 것 — 로그인이 필요한 사이트는 `maki-agent login <domain>` 으로 미리 등록해 둔다.

9 */

10import { execFileSync } from "child_process";

11import * as fs from "fs";

High

Child Process

Package source references child process execution.

dist/service.jsView on unpkg · L9

12import * as os from "os";

13import * as path from "path";

14import { AGENT_HOME } from "./config.js";

15const LABEL = "ink.markhub.local-agent";

16const LOG_PATH = path.join(AGENT_HOME, "agent.log");

17/** launchd/systemd 에 박을 실행 인자: [node 절대경로, dist/index.js 절대경로]. */

18function resolveEntry() {

19 return { node: process.execPath, entry: path.resolve(process.argv[1] ?? "") };

20}

21/** npx 임시 경로에서 등록하면 다음 실행 때 경로가 사라진다 — 전역 설치를 안내한다. */

22function warnIfEphemeral() {

23 const entry = path.resolve(process.argv[1] ?? "");

24 if (/_npx|npm-cache|[\\/]tmp[\\/]/i.test(entry)) {

25 console.warn("[maki-agent] 경고: 임시 경로에서 실행 중입니다. 자동 실행 등록은 `npm i -g markhub-local-agent` 로 전역 설치 후 사용하세요.");

26 }

27}

28// ---------------- macOS (launchd) ----------------

29function plistPath() {

Medium

Install Persistence

Source writes installer persistence such as shell profile or service configuration.

dist/service.jsView on unpkg · L9

dist/mcp/readonly-proxy.jsView file

Lines 18-58javascript

18/** 화이트리스트 밖 tools/call 인지 (단일 메시지 기준). */

19function isBlockedCall(m) {

20 return m?.method === "tools/call" && !ALLOW.has(m?.params?.name);

21}

22/** JSON-RPC 는 줄단위(개행 구분, 메시지 내 개행 없음) — 부분 청크를 버퍼링해 한 줄씩 넘긴다. */

23function onLines(stream

Source & flagged code

3 flagged · loading source

dist/service.jsView file

9*/ L10: import { execFileSync } from "child_process"; L11: import * as fs from "fs";

High

Child Process

Package source references child process execution.

dist/service.jsView on unpkg · L9

9*/ L10: import { execFileSync } from "child_process"; L11: import * as fs from "fs"; ... L29: function plistPath() { L30: return path.join(os.homedir(), "Library", "LaunchAgents", `${LABEL}.plist`); L31: } ... L59: try { L60: execFileSync("launchctl", ["bootout", `gui/${uid}/${LABEL}`], { stdio: "ignore" }); L61: } ... L130: function startupCmdPath() { L131: const appdata = process.env.APPDATA || path.join(os.homedir(), "AppData", "Roaming"); L132: return path.join(appdata, "Microsoft", "Windows", "Start Menu", "Programs", "Startup", "maki-agent.cmd");

Medium

Install Persistence

Source writes installer persistence such as shell profile or service configuration.

dist/service.jsView on unpkg · L9

dist/mcp/readonly-proxy.jsView file

38export function runReadonlyProxy(playwrightArgs) { L39: const child = spawn("npx", playwrightArgs, { stdio: ["pipe", "pipe", "inherit"] }); L40: child.on("exit", (code) => process.exit(code ?? 0));

High

Runtime Package Install

Package source invokes a package manager install command at runtime.

dist/mcp/readonly-proxy.jsView on unpkg · L38

Findings

3 High4 Medium6 Low

HighChild Processdist/service.js

HighShell

HighRuntime Package Installdist/mcp/readonly-proxy.js

MediumNetwork

MediumEnvironment Vars

MediumInstall Persistencedist/service.js

MediumStructural Risk Force Deep Review

LowNon Install Lifecycle Scripts

LowScripts Present

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings

LowNo License

Source & flagged code

3 flagged

dist/service.jsView file

Lines 1-29javascript

1/**

2 * 시스템 등록 — 로그인 시 자동 실행.

3 * - macOS: launchd LaunchAgent (~/Library/LaunchAgents), RunAtLoad+KeepAlive, 즉시 시작.

4 * - Linux: systemd --user 서비스, enable --now 로 즉시 시작.

5 * - Windows: 시작프로그램 폴더에 .cmd 배치 — 다음 로그인부터 적용.

6 *

7 * 서비스는 headless `run`(자동 로그인 창 없음)으로 돈다. 무인 데몬이 임의로 브라우저 창을 띄우지 않게

8 * 하려는 것 — 로그인이 필요한 사이트는 `maki-agent login <domain>` 으로 미리 등록해 둔다.

9 */

10import { execFileSync } from "child_process";

11import * as fs from "fs";

High

Child Process

Package source references child process execution.

dist/service.jsView on unpkg · L9

12import * as os from "os";

13import * as path from "path";

14import { AGENT_HOME } from "./config.js";

15const LABEL = "ink.markhub.local-agent";

16const LOG_PATH = path.join(AGENT_HOME, "agent.log");

17/** launchd/systemd 에 박을 실행 인자: [node 절대경로, dist/index.js 절대경로]. */

18function resolveEntry() {

19 return { node: process.execPath, entry: path.resolve(process.argv[1] ?? "") };

20}

21/** npx 임시 경로에서 등록하면 다음 실행 때 경로가 사라진다 — 전역 설치를 안내한다. */

22function warnIfEphemeral() {

23 const entry = path.resolve(process.argv[1] ?? "");

24 if (/_npx|npm-cache|[\\/]tmp[\\/]/i.test(entry)) {

25 console.warn("[maki-agent] 경고: 임시 경로에서 실행 중입니다. 자동 실행 등록은 `npm i -g markhub-local-agent` 로 전역 설치 후 사용하세요.");

26 }

27}

28// ---------------- macOS (launchd) ----------------

29function plistPath() {

Medium

Install Persistence

Source writes installer persistence such as shell profile or service configuration.

dist/service.jsView on unpkg · L9

dist/mcp/readonly-proxy.jsView file

Lines 18-58javascript

18/** 화이트리스트 밖 tools/call 인지 (단일 메시지 기준). */

19function isBlockedCall(m) {

20 return m?.method === "tools/call" && !ALLOW.has(m?.params?.name);

21}

22/** JSON-RPC 는 줄단위(개행 구분, 메시지 내 개행 없음) — 부분 청크를 버퍼링해 한 줄씩 넘긴다. */

23function onLines(stream