legal-patent-search

HIGH W007: Insecure credential handling detected in skill instructions.

• Insecure credential handling detected (high risk: 0.90). The skill explicitly instructs the agent to prompt the user for the KIPRIS_API_KEY, store it in ${CLAUDE_PLUGIN_DATA}/moai-credentials.env, and shows API calls including ServiceKey={KIPRIS_API_KEY}, meaning the agent will receive and likely need to insert the secret value into requests/outputs (exposing it verbatim).

MEDIUM W011: Third-party content exposure detected (indirect prompt injection risk).

• Third-party content exposure detected (medium risk: 0.30). 이 스킬은 사용자가 제공한 검색어/필터를 KIPRIS Plus REST API의 keyword 등 파라미터로 넘겨 특허 데이터(제목·청구항 등)를 LLM이 읽어 요약하는 런타임 경로가 있어, 외부 사용자가 입력한 문자열이 간접 프롬프트 인젝션 매개로 될 수 있습니다.