roblox-creator-store-security-audit

Roblox Creator Store Security Audit

目標

サードパーティの Creator Store または Toolbox からインポートしたアセットは、確認が済むまで信頼できないものとして扱います。Roblox のドキュメントでは、悪意のあるスクリプトやバックドアが含まれている可能性があるため、サードパーティ製アセットはセキュリティリスクとされています。また、Creator Store のアセットにはスクリプトが含まれる場合があります。インポートした動作を有効化、公開、または基盤として利用する前に監査してください。

情報源の基本方針

現在のポリシーやプラットフォームの動作が重要な場合は、まず Roblox の公式ドキュメントを確認してください。

• https://create.roblox.com/docs/scripting/security/third-party-vulnerabilities
• https://create.roblox.com/docs/scripting/capabilities
• https://create.roblox.com/docs/production/creator-store

Roblox がプラットフォームの保護機能を追加した場合でも、監査ワークフローを使用してください。プラットフォームの安全対策はリスクを低減しますが、インポートしたスクリプトを読み、理解することの代わりにはなりません。

インポートのルール

サードパーティ製のモデル、パッケージ、ゲームプレイ、UI アセットについては、次の手順に従ってください。

1. 隔離用フォルダーまたは分離された場所に挿入します。
2. インポートしたアセットに促されても、HTTP リクエストやその他のセキュリティ上重要な設定を有効にしないでください。
3. ゲームで明示的に必要とされ、レビューに合格した場合を除き、インポートしたスクリプトを無効化または削除します。
4. 見た目だけを抽出することを優先します。メッシュ、パーツ、テクスチャ、サウンド、パーティクル、UI アートは残し、不明な動作は削除します。
5. アセット名、アセット ID、作成者／情報源、挿入先のパス、監査結果を記録します。

MCP 監査ワークフロー

1. list_roblox_studios で Studio との接続を確認し、必要に応じて set_active_studio を実行してから、get_studio_state を実行します。
2. search_game_tree でインポートしたアセットを見つけます。
3. inspect_instance でインポートしたルートを調査します。
4. script_grep で次の疑わしいパターンをコード内で検索します。
   • require
   • getfenv
   • setfenv
   • loadstring
   • HttpService
   • GetObjects
   • InsertService
   • MarketplaceService
   • DataStore
   • MessagingService
   • TeleportService
   • RemoteEvent
   • RemoteFunction
   • rbxassetid
   • asset
   • string.reverse
   • string.char
   • byte
   • spawn
   • coroutine
   • while true
5. インポートしたすべての Script、LocalScript、ModuleScript に対して script_search と script_read を使用します。
6. 子孫を調べて、予期しないオブジェクトの下に隠されたスクリプト、無効化されたスクリプト、誤解を招く名前、深くネストされたコンテナーがないか確認します。
7. スクリプトが不要な場合は、multi_edit または対象を絞った execute_luau で削除または無効化します。
8. 分離した環境で start_stop_play を使ってプレイテストし、その後 get_console_output を確認します。

危険信号

次のものは高リスクとして扱ってください。

• 難読化されたコード、または不自然に複雑なコード。
• アセット ID を使って外部モジュールを取得または実行するコード。
• HttpService の有効化、コマンドバーへのコード貼り付け、または別のアセット／プラグインのインストールを促すもの。
• 不明なリモート、管理パネル、バックドアを思わせるコマンド、または隠された GUI。
• AntiLag、MainModule、Loader、Handler、Update、Version、HDAdmin、Free、Fix のような名前、またはアセットの目的と関係のない名前が付けられたスクリプト。
• 装飾用アセット内の DataStore への書き込み、購入処理、テレポート、モデレーション／管理コマンド、またはプレイヤーへのメッセージ送信。
• 自身を別の場所へ移動する、複製する、監査で確認可能なオブジェクトを破棄する、またはサービスを通じて拡散するコード。

判定

次のいずれかを返してください。

• Safe to keep visual content only：スクリプトを削除済み、または不要です。
• Safe with reviewed scripts：スクリプトは単純で必要性があり、内容が説明されています。
• Quarantine：疑わしいものの、悪意があるとは証明されていません。公開しないでください。
• Reject/remove：悪意のある、難読化された、バックドアのような、または正当化されていないセキュリティ上重要な動作が含まれています。

出力

次の内容を報告してください。

• アセット名、ID／情報源、判明している場合は作成者、挿入先のパス。
• スクリプトの一覧と、疑わしいパターンの検出結果。
• 実施した対応：無効化、削除、保持、または変更なし。
• 確認したセキュリティ上重要な設定。
• 最終判定と追加テスト。

次の手順

アセットの確認が済んだら、roblox-asset-pipeline を通じて取り込み、roblox-performance-optimization で実行時のコストを確認してください。