マーケットプレイス

Nagi プラグインディレクトリには、変更不可能な Git コミットから 公開バージョンを再現できる、サンドボックス化された manifest v2 プラグインだけが 掲載されます。

掲載は曖昧な信頼バッジではありません。マニフェスト、コンポーネントのチェックサム、 ランタイム、要求された権限、自動スキャン結果、公開者、ソースコミット、前バージョン からの権限変更を確認できます。

掲載済みプラグインをインストールする

nagi plugin install owner/repo[/subdir...]
nagi plugin inspect plugin.id
nagi plugin approve plugin.id
nagi plugin enable plugin.id

マーケットプレイスのプラグインは WASI コンポーネントのサンドボックスで動作します。 権限を要求するプラグインは無効な状態でインストールされます。承認は、正確なバージョン、 マニフェスト、コンポーネントのチェックサム、コミット、権限セットに結び付けられます。 更新でいずれかが変わると、再レビューが必要です。

レビューラベル

• Official: Nagi 組織が保守し、同じ変更不可能なメタデータ検証と成果物検査を通過しています。
• Verified metadata: ソース、バージョン、マニフェスト、コンポーネントのチェックサム、 権限、自動スキャンをレジストリが再現しています。
• Unreviewed: インストール用ディレクトリには表示されません。GitHub トピックは発見の 手掛かりにすぎません。

検証済みメタデータは、人間が全コードを監査したことを意味しません。Star 数は人気の 指標であり、セキュリティ評価ではありません。

公開する

1. 相対パスの .wasm エントリポイントを持つ manifest v2 wasi-component を用意します。
2. nagi plugin validate、nagi plugin test、nagi plugin pack を実行します。
3. 公開 GitHub リポジトリからソースとコンポーネントを公開します。
4. リポジトリとプラグイン ID を記載してレジストリ申請を開きます。

レジストリはマニフェストやコンポーネントを取得する前に、デフォルトブランチを 40 文字の コミット SHA に固定します。不正なマニフェスト、ネイティブランタイム、サイズ超過、 スキャン失敗、ブロック済みリポジトリ、変更可能または欠落した成果物は拒否されます。

報告と緊急停止

Nagi のセキュリティと不正利用の窓口 から掲載内容を報告してください。メンテナーはレジストリのキルスイッチでリポジトリを 直ちに無効化できます。更新に失敗しても、最後に検証済みのスナップショットは上書きされません。

ローカル開発と完全な権限モデルについてはプラグインを参照してください。