هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-B1EF8011

9/7/2026, 3:57:00 PM

ai-avatar-video تقييم أمني v5

تقرير شهادة أمان المهارة

سجل التدقيق
إصدار الماسح 3.0.0 نموذج التدقيق: codex أحدث تقرير منشور
اسم المهارة
ai-avatar-video
الإصدار
v5
المشرف
skills-shell
المصدر
github.com/skills-shell/skills/tree/main/tools/video/ai-avatar-video/
التغطية
1 الملفات التي تم فحصها · 268 الأسطر التي تم تحليلها
إصدار السياسة
skillstore-security-audit-policy-v1

أعلى مستوى خطورة لنتيجة مؤكدة

مرتفع

يتطلب 1 اكتشاف أمني مؤكد اهتمامًا.

سياق التثبيت

تحقق من صفحة المهارة الحالية

تلخص هذه الصفحة أدلة التقرير فقط. توفر صفحة المهارة إرشادات التثبيت المعتمدة.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

The skill legitimately invokes hosted inference models, so command blocks that run belt, redirect outputs, loop over jobs, or install packages are confirmed. Formatting-only backticks and placeholder or documentation URLs are false positives, while the remote image carries a minor privacy risk. The UGC workflow also encourages synthetic testimonials designed to appear authentic.

موضع التقرير

أحدث تقرير منشور

يشير «الأحدث» إلى تسلسل التقرير، وليس إلى حداثة العنصر.

إقرار التدقيق

إقرار نشط

يتوفر إقرار عام لهذا التقرير تحديدًا.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 268 الأسطر التي تم تحليلها

17 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الالتزام والمسار مرتبطان

  2. العنصر البرمجي

    تم ربط تجزئات المحتوى والشجرة.

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في 21 مواضع أدلة

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

لم يتم تسجيله بواسطة هذا التدقيق

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 33 مواضع أدلة

عناصر مراجعة القدرات (16)
متوسط
SKILL.md:7
Ruby/shell backtick execution
> **Install the belt CLI skill:** `npx skills add belt-sh/cli`
Line 7 instructs users to run npx against a remote package, which can download and execute package code.
متوسط
SKILL.md:19-28
Ruby/shell backtick execution
```bash
This range contains belt login and a hosted model invocation, both of which execute an external CLI and can create network activity or charges.
متوسط
SKILL.md:55-63
Ruby/shell backtick execution
```bash
The code block runs belt against a hosted avatar model, causing an external process and remote inference request.
متوسط
SKILL.md:67-76
Ruby/shell backtick execution
```bash
The range runs belt against a hosted avatar model with user-selected media and style inputs.
متوسط
SKILL.md:80-85
Ruby/shell backtick execution
```bash
The code block invokes belt and sends image and audio references to a hosted model.
متوسط
SKILL.md:91-104
Ruby/shell backtick execution
```bash
The range contains two belt model invocations that generate an image and then an avatar video.
متوسط
SKILL.md:108-113
Ruby/shell backtick execution
```bash
The code block invokes belt to submit image and audio inputs to the OmniHuman service.
متوسط
SKILL.md:119-124
Ruby/shell backtick execution
```bash
The code block executes belt to send image and audio inputs to a hosted Fabric model.
متوسط
SKILL.md:128-133
Ruby/shell backtick execution
```bash
The code block executes belt to submit media to the hosted PixVerse lipsync model.
متوسط
SKILL.md:139-152
Ruby/shell backtick execution
```bash
The range invokes two hosted models and redirects command output into speech.json, creating both network and filesystem effects.
متوسط
SKILL.md:158-172
Ruby/shell backtick execution
```bash
The dubbing workflow invokes three hosted models and redirects results into local files.
متوسط
SKILL.md:178-194
Ruby/shell backtick execution
```bash
The block executes two belt jobs to generate a portrait and synthetic presenter video.
متوسط
SKILL.md:206-218
Ruby/shell backtick execution
```bash
The shell loop runs three hosted inference jobs and interpolates the voice variable, creating repeated billable external actions.
متوسط
SKILL.md:241-259
Ruby/shell backtick execution
```bash
The code block contains five npx installation commands that can fetch and execute remote package code.
متوسط
SKILL.md:259-261
Ruby/shell backtick execution
```
Although line 259 closes a block, this finding range also includes an inline belt command that lists remote video applications.
منخفض
SKILL.md:13
Hardcoded URL
![AI Avatar & Talking Head Videos](https://cloud.inference.sh/app/files/u/4mg21r6ta37mpaz6ktzwtt8krr
The Markdown embeds a remote image, so rendering the document can contact cloud.inference.sh and disclose viewer network metadata.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (1)

RISK-001 مرتفع
SKILL.md:174-218
Deceptive Synthetic Testimonial Workflow
The UGC workflow generates fictional speakers who claim product experience, describes them as authentic testimonials, and demonstrates producing multiple presenters at scale.
The example script claims personal product use, while the prompts explicitly request an authentic testimonial from generated presenters.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    مرتفع
    The UGC examples present synthetic speakers as authentic customers.
    Require consent, synthetic-media disclosure, and truthful claims. Remove instructions that frame generated endorsements as real testimonials.
  2. FIX-002
    متوسط
    Remote package installation can execute unreviewed package code.
    Require explicit approval and pin reviewed package versions before running any npx installation command.
  3. FIX-003
    متوسط
    Hosted belt jobs upload media, may write local output files, and may create usage charges.
    Confirm uploads, output paths, model choice, and estimated charges before executing belt workflows.
  4. FIX-004
    منخفض
    The remote Markdown image can disclose viewer network metadata.
    Bundle a reviewed local image or omit the remote image from marketplace-rendered documentation.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
b1ef80115e869b66867d4eac8e3c8dc56a393a8d
تجزئة المحتوى
3f7ac4ca778280b0f976761c347aa58e6ae2d01fde691b8a9ac16bdfc8327d71
تجزئة الشجرة
4649b11d874126d484157e56354978a97fdf02eb0535cd752851f66c09082db7
مسار Skill
skills/skills-shell/ai-avatar-video
تجزئة حمولة التدقيق
0319a53049e1f64c4e7eea8336fb444a

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON إقرار تدقيق موقّع CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع المصدر

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: active