Security audit
Security checks for vulnerabilities and agentic risk
This skill is a disclosed wellness reminder and habit-tracking helper, with no evidence of deception, exfiltration, or destructive behavior.
Before installing, confirm you want daily proactive reminders, Google Calendar event creation, agent-memory tracking of score/streak/mood, and optional photo analysis. Adjust or avoid the cron/heartbeat setup if you do not want persistent reminders, and change the timezone if you are not using America/Mexico_City.
La activación por señales amplias de estrés o cansancio puede disparar la skill fuera del contexto esperado y provocar acciones no solicitadas en momentos de conversación casual. En esta skill el riesgo aumenta porque no solo responde con texto: también puede iniciar recordatorios proactivos y encaminar flujos que terminan en modificación de calendario y tratamiento de fotos.
Documentar que 'arranca automáticamente' ante frases ambiguas de agotamiento crea un patrón de activación excesiva que puede captar conversaciones cotidianas y asumir consentimiento inexistente. Dado que la skill se integra con sistemas externos y seguimiento de hábitos, una activación errónea tiene más consecuencias que una simple recomendación local.
La creación de eventos en Google Calendar es una modificación directa de datos del usuario y el README la presenta como funcionalidad normal sin destacar consentimiento, alcance ni posibilidad de rechazo. Si la skill se activa de forma amplia, esto puede traducirse en cambios no deseados en agenda, recordatorios y hábitos visibles en un servicio externo.
El análisis de fotos del usuario para 'verificación visual' implica tratamiento de imágenes potencialmente sensibles, pero la documentación no establece consentimiento informado, minimización de datos, retención ni límites de uso. Aunque el texto afirma una filosofía respetuosa, eso no sustituye controles técnicos y de privacidad en una capacidad multimodal.
La activación es demasiado amplia: menciones generales de estrés, cansancio o burnout pueden aparecer en conversaciones informativas o contextos no orientados a invocar esta skill. Eso puede disparar acciones no solicitadas, incluyendo lectura de archivos, uso de memoria y propuestas de creación de eventos en Calendar, lo que incrementa el riesgo de comportamiento no deseado y de sobrealcance contextual.
Todo el contenido instruccional, mensajes de ejemplo y respuestas previstas están definidos en español, sin indicar que el idioma de interacción deba adaptarse a la preferencia del usuario. La política dada pide marcar restricciones de idioma cuando no existe opción explícita o justificación documentada.
This JSON file contains user-facing labels and activity names entirely in Spanish, such as "Al aire libre" and "Caminar 15 minutos", with no indication that language selection is optional or that the skill is specifically limited to Spanish-speaking users. Under the policy, a skill that imposes a specific language without user choice or a clearly documented regional justification is a natural-language policy concern.
El ejemplo de configuración fija la zona horaria en 'America/Mexico_City', lo que introduce una preferencia regional concreta. No se ofrece alternativa ni se indica que deba ajustarse a la configuración del usuario.
La documentación establece 'Zona horaria: America/Mexico_City' como requisito general del skill. Esto fuerza una configuración regional específica sin explicar que sea una herramienta regional ni ofrecer una opción de personalización.
Usar una frase genérica como 'configura touch the grass' para el setup puede hacer que la skill entre en modo de instalación por coincidencias casuales o referencias indirectas. En este contexto el impacto es menor porque el flujo todavía describe pasos visibles, pero puede llevar a sugerir o intentar configurar cron/heartbeat sin una intención claramente afirmativa del usuario.
No suspicious patterns detected.
