المهارات skywork-design
📦
skywork-design
مراجعة المحتوى r1 مخاطر عالية 🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚙️ الأوامر الخارجية
إنشاء أصول مرئية باستخدام Skywork
تحتاج الفرق إلى أصول مرئية بسرعة دون إعداد تصميم يدوي. تستخدم هذه المهارة تدفقات عمل الصور في Skywork لإنشاء الصور أو تعديلها انطلاقا من مطالبات واضحة.
يدعم: Claude Codex Code(CC)
توقف واطلب التأكيد قبل التثبيت.
راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "skywork-design" from https://skillstore.io/skills/skyworkai-skywork-design.md and its manifest at https://skillstore.io/api/skills/skyworkai-skywork-design/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "skywork-design". إنشاء صورة رئيسية مربعة لكوب سفر من الفولاذ المقاوم للصدأ.
النتيجة المتوقعة:
- صورة رئيسية للمنتج بدقة 4K مع خلفية بيضاء نقية وتكوين مركزي.
- ملف صورة محلي ورابط Skywork OSS قابل للمشاركة.
- رسالة حالة قصيرة إذا فشل الإنشاء أو كانت مزايا الحساب غير كافية.
جارٍ استخدام "skywork-design". حوّل مرجع الشعار هذا إلى نموذج قرطاسية فاخر.
النتيجة المتوقعة:
- نموذج قرطاسية بنسبة 3:4 يحافظ على الشعار المقدم وألوان العلامة التجارية.
- ملاحظة موجزة تصف الصورة المحفوظة ورابط الصورة البعيد.
جارٍ استخدام "skywork-design". إنشاء كتيب ثلاثي الطي لاستوديو عافية.
النتيجة المتوقعة:
- وجه خارجي للكتيب بثلاث لوحات وبنية طي واضحة.
- يمكن أن يتبع الوجه الداخلي بعد موافقة المستخدم على الاتجاه المرئي.
التدقيق الأمني
مخاطر عاليةv5 • ٧/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
The skill performs legitimate image generation work, but it uses external Skywork APIs, uploads user prompts and reference images, and stores reusable authentication tokens in a hidden home-directory file. Most prose-based static hits are false positives, while the confirmed risks are concentrated in network transfer, token handling, Windows shell launch behavior, and local file writes.
11
الملفات التي تم فحصها
1,166
الأسطر التي تم تحليلها
23
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (2)
مرتفع
Prompts and Reference Images Sent to External API
The image workflow sends user prompts, optional base64 reference images, and an authentication token to Skywork API endpoints. This is disclosed as core behavior, but it can expose sensitive visual assets or prompt content to a third party.
The code directly constructs token-bearing HTTP requests and includes prompt text plus base64 image data in request bodies. This is clear third-party data transfer, although it is expected for the skill.
متوسط
Unvalidated Upgrade Link From Script Output
The instructions tell the agent to extract an upgrade URL from script output and present it to the user. Without domain validation, compromised output could cause a user-facing phishing or payment-redirection link.
The instruction explicitly forwards a URL parsed from logs, but the observed text does not show host validation. The risk depends on the trustworthiness of backend error output.
عناصر مراجعة القدرات (23)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Python subprocess.Popen
subprocess.Popen(["start", url], shell=True, start_new_session=True,
The Windows branch launches the browser with shell=True and a URL influenced by configuration. Shell interpretation creates an injection risk if the URL source is compromised or misconfigured.
مرتفع
Hidden file in home directory
Token is stored in user home directory as ~/.skywork_token (JSON format).
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
مرتفع
Hidden file in home directory
TOKEN_FILE = os.path.expanduser("~/.skywork_token")
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
مرتفع
Hidden file access
Token is stored in user home directory as ~/.skywork_token (JSON format).
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
مرتفع
Hidden file access
TOKEN_FILE = os.path.expanduser("~/.skywork_token")
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
مرتفع
Python file write/append
with open(TOKEN_FILE, "w", encoding="utf-8") as f:
The script writes token data to the cache file without setting restrictive file permissions. A reusable credential can remain exposed to other local processes or backups.
مرتفع
Hidden file in home directory
2. Cached token file `~/.skywork_token` → validate via API, if valid, use it
The documentation directs use of a cached token file in the user home directory. That matches the script behavior and represents persistent credential storage.
مرتفع
Hidden file access
2. Cached token file `~/.skywork_token` → validate via API, if valid, use it
The documentation directs use of a cached token file in the user home directory. That matches the script behavior and represents persistent credential storage.
متوسط
Python HTTP libraries
req = urllib.request.Request(
The script sends POST requests to the Skywork gateway with a token header and prompt or image payloads. This is a real third-party data transfer risk, even though it is expected behavior.
متوسط
Python HTTP libraries
with urllib.request.urlopen(req, timeout=300) as resp:
The script sends POST requests to the Skywork gateway with a token header and prompt or image payloads. This is a real third-party data transfer risk, even though it is expected behavior.
متوسط
Hardcoded URL
SKYWORK_GATEWAY_URL = os.environ.get("SKYWORK_GATEWAY_URL", "https://api-tools.skywork.ai/theme-gate
The gateway defaults to an external Skywork endpoint and can be overridden by SKYWORK_GATEWAY_URL. Later token-bearing requests use this base URL, so endpoint control is security relevant.
متوسط
Python file write/append
with open(out_abs, "wb") as f:
The script writes downloaded remote image bytes to a caller-provided filename. This is expected output behavior but can overwrite or create files outside the intended workspace.
متوسط
Python os file operations
os.makedirs(os.path.dirname(out_abs) or ".", exist_ok=True)
The script creates directories derived from the output path. This is legitimate for saving images, but it can modify arbitrary filesystem locations if the filename is unsafe.
متوسط
Python environment access
SKYWORK_GATEWAY_URL = os.environ.get("SKYWORK_GATEWAY_URL", "https://api-tools.skywork.ai/theme-gate
SKYWORK_GATEWAY_URL controls the external endpoint used for later token-bearing API calls. This environment override could redirect prompts, images, and credentials.
متوسط
Hardcoded URL
API_BASE = os.environ.get("SKYWORK_API_BASE", "https://api.skywork.ai")
The API base defaults to Skywork and can be overridden by environment. Token validation and login-key requests use this endpoint, making the network destination security relevant.
متوسط
Hardcoded URL
LOGIN_BASE_URL = os.environ.get("SKYWORK_WEB_BASE", "https://skywork.ai")
The login web base defaults to Skywork and can be overridden by environment. The resulting URL is shown to users and opened in a browser, so redirect risk exists.
متوسط
Python environment access
API_BASE = os.environ.get("SKYWORK_API_BASE", "https://api.skywork.ai")
SKYWORK_API_BASE can redirect authentication traffic. Because token checks use this endpoint, the environment variable is security-sensitive.
متوسط
Python environment access
LOGIN_BASE_URL = os.environ.get("SKYWORK_WEB_BASE", "https://skywork.ai")
SKYWORK_WEB_BASE controls the login URL shown to users and opened in a browser. A malicious value could redirect users to an unexpected authentication page.
منخفض
Python HTTP libraries
import urllib.request
The HTTP library import is used later for real outbound requests. Network access is central to the skill and can transmit user prompts or image data.
منخفض
Python HTTP libraries
req = urllib.request.Request(file_url, method="GET")
The script downloads a result image from a URL returned by the API. This is expected, but it still retrieves remote content and writes it locally.
منخفض
Python HTTP libraries
with urllib.request.urlopen(req, timeout=120) as r:
The script downloads a result image from a URL returned by the API. This is expected, but it still retrieves remote content and writes it locally.
منخفض
Python environment access
env_token = os.environ.get("SKYBOT_TOKEN", "")
The script reads SKYBOT_TOKEN from the environment as a credential source. This is an expected auth pattern, but it is still access to secret material.
منخفض
Python environment access
env_token = os.environ.get("SKYBOT_TOKEN", "")
The script reads SKYBOT_TOKEN from the environment as a credential source. This is an expected auth pattern, but it is still access to secret material.
عوامل الخطر
🌐 الوصول إلى الشبكة (9)
📁 الوصول إلى نظام الملفات (9)
🔑 متغيرات البيئة (6)
⚙️ الأوامر الخارجية (30)
scripts/skywork_auth.py:87 scripts/skywork_auth.py:90 scripts/skywork_auth.py:93 SKILL.md:22-25 SKILL.md:25-28 SKILL.md:28-29 SKILL.md:29-32 SKILL.md:32-41 SKILL.md:41-43 SKILL.md:43-46 SKILL.md:46-48 SKILL.md:48-51 SKILL.md:51-53 SKILL.md:53-59 SKILL.md:59-60 SKILL.md:60 SKILL.md:63-75 SKILL.md:75 SKILL.md:85-89 SKILL.md:89-92 SKILL.md:92-93 SKILL.md:93-94 SKILL.md:94-98 SKILL.md:98-99 SKILL.md:99-103 SKILL.md:103 SKILL.md:104-105 SKILL.md:105-106 SKILL.md:106-113 SKILL.md:113-114
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/skyworkai-skywork-design/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/skyworkai-skywork-design?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/skyworkai-skywork-design?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/skyworkai-skywork-design/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/skyworkai-skywork-design.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
SkyworkAI. (2026). skywork-design security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/skyworkai-skywork-design/audits/5اقتباس BibTeX
@techreport{skyworkai-skyworkai-skywork-design-2026,
author = {SkyworkAI},
title = {skywork-design security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/skyworkai-skywork-design/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "skywork-design security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "SkyworkAI"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/skyworkai-skywork-design/audits/5"
identifiers:
- type: other
value: "skillstore:skyworkai-skywork-design:audit:5"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 45
الهندسة المعمارية
85
قابلية الصيانة
87
المحتوى
70
المجتمع
83
الامتثال للمواصفات
ما الذي يمكنك بناؤه
إطلاق مجموعات صور المنتجات
إنشاء صور رئيسية للسوق، وصور نمط حياة، وصور إبراز الميزات مع مقاسات وأسلوب بصري متسقين.
تطوير مفاهيم العلامة التجارية
إنشاء شعارات وبطاقات لوحات ألوان وعروض للطباعة ونماذج قرطاسية من اتجاه مشترك للعلامة التجارية.
إنتاج مرئيات الحملات
إنشاء منشورات اجتماعية وملصقات وكتيبات ومرئيات قصصية بنسب أبعاد مخصصة لكل منصة.
جرّب هذه الموجّهات
إنشاء صورة بسيطة
Create a 2K image of [subject] for [purpose]. Use a [style] look, [lighting] lighting, and a [aspect ratio] canvas.
تعديل صورة مرجعية
Edit the attached image to [change]. Preserve [important elements], adjust [colors or layout], and keep the final image suitable for [channel].
بناء نظام مرئي للعلامة التجارية
Create a visual identity for [brand] in [industry]. Start with a logo concept, then align palette, typography, and mockup style around [brand adjectives].
إنشاء مجموعة إدراج للتجارة الإلكترونية
Create a product image set for [product]. Include a white-background hero, lifestyle scene, feature callout image, and optional detail shots for [buyer concerns].
أفضل الممارسات
- قدّم القناة المستهدفة والجمهور ونسبة الأبعاد المطلوبة والاستخدام النهائي قبل الإنشاء.
- استخدم الصور المرجعية عندما يكون الاتساق عبر حملة أو نظام علامة تجارية مهما.
- راجع النصوص المنشأة والشعارات وادعاءات المنتجات وتفاصيل العلامة التجارية قبل النشر.
تجنب
- لا ترسل صور منتجات سرية أو مستندات خاصة دون موافقة المستخدم.
- لا تطلب العديد من الأساليب المرئية غير المرتبطة في مطالبة واحدة.
- لا تستخدم أصولا تجارية منشأة دون التحقق من متطلبات العلامة التجارية والعلامة التجارية المسجلة والمنصة.
الأسئلة المتكررة
هل تعمل هذه المهارة دون حساب Skywork؟
لا. يتطلب رمز Skywork صالحا من البيئة أو تسجيل دخول مخزنا مؤقتا أو مصادقة عبر المتصفح.
هل يمكنها تعديل الصور الموجودة؟
نعم. تقبل صورة مرجعية واحدة أو أكثر وترسلها مع تعليمات التعديل إلى Skywork API.
ما نسب الأبعاد المدعومة؟
تدعم نسبا شائعة تشمل المربع والعمودي والأفقي وقصة الهاتف المحمول واللافتة والتنسيقات فائقة العرض.
أين يتم تخزين الصور المنشأة؟
يحفظ السكربت الصورة باسم الملف المحلي المطلوب ويطبع أيضا رابط OSS البعيد.
هل يمكنها إنشاء أنظمة كاملة للعلامة التجارية؟
يمكنها إرشاد أصول العلامة التجارية متعددة الخطوات مثل الشعارات ولوحات الألوان وعينات الطباعة والأنماط ونماذج القرطاسية.
ما الذي ينبغي للمستخدمين مراجعته قبل النشر؟
ينبغي للمستخدمين مراجعة دقة الصورة وقابلية قراءة النص وادعاءات المنتجات والامتثال للعلامة التجارية والمحتوى الحساس للحقوق.