Fähigkeiten yescan-universal

📦

yescan-universal

Name: yescan-universal
Author: yescan-ai

v1.0.5 Inhaltsrevision r1 Hohes Risiko 🔑 Umgebungsvariablen🌐 Netzwerkzugriff📁 Dateisystemzugriff⚙️ Externe Befehle

Bilder mit Quark Scan OCR verarbeiten

Bildlastige Workflows benötigen häufig OCR, Bereinigung, Übersetzung und Dokumentkonvertierung über viele Formate hinweg. Diese Skill leitet vom Benutzer bereitgestellte Bilder über die yescan CLI und den Quark Scan-Dienst weiter, mit klaren Einrichtungs- und Verifizierungsschritten.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "yescan-universal" from https://skillstore.io/skills/yescan-ai-yescan-universal.md and its manifest at https://skillstore.io/api/skills/yescan-ai-yescan-universal/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/yescan-ai-yescan-universal.md Signiertes manifest GET /api/skills/yescan-ai-yescan-universal/manifest Signiertes lockfile GET /api/skills/yescan-ai-yescan-universal/lockfile

Testen

„yescan-universal“ wird verwendet. Ein Benutzer stellt ein Foto eines Belegs bereit und bittet um OCR.

Erwartetes Ergebnis:

Der Assistent prüft die yescan-Einrichtung, wählt die passende OCR-Szene aus, führt den Befehl aus und gibt den extrahierten Belegtext zurück.

„yescan-universal“ wird verwendet. Ein Benutzer stellt ein unscharfes gescanntes Formular bereit und bittet um Bereinigung.

Erwartetes Ergebnis:

Der Assistent wählt eine Verbesserungsszene aus, verarbeitet das Bild, überprüft den Erfolg und gibt den lokalen Ausgabedateipfad an.

„yescan-universal“ wird verwendet. Ein Benutzer stellt ein Bild einer Tabellenkalkulation bereit und bittet um Excel-Konvertierung.

Erwartetes Ergebnis:

Der Assistent ermittelt die Konvertierungsszene, führt sie für das Bild aus und meldet den Pfad zur erzeugten Tabellenkalkulation.

Sicherheitsaudit

Hohes Risiko

v3 • 8.7.2026 Versionsbericht öffnen

The reviewed files are readable documentation and skill instructions, not obfuscated payloads. The main confirmed risks are third-party image upload, API key handling, hidden credential storage, temp-file outputs, and yescan or pip command execution. I found no evidence of prompt injection, hidden endpoints, or attempts to bypass the audit.

Gescannte Dateien

488

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (1)

Hoch

references/privacy.md:11-12 references/implementation.md:14 SECURITY.md:9-10

Third-Party Image and Credential Transmission

The skill sends user-provided images and SCAN_WEBSERVICE_KEY to Quark Scan services. Images may contain personal, financial, or regulated information.

The privacy and implementation documents explicitly state that user images and the API key leave the machine for Quark Scan processing.

Elemente der Fähigkeitsprüfung (35)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

README.en.md:25

Generic API/secret keys

yescan config set SCAN_WEBSERVICE_KEY <your_api_key>

The line instructs users to configure or export SCAN_WEBSERVICE_KEY, a real service credential. It is a legitimate setup step, but mishandling the key can expose account access.

Hoch

README.md:25

Generic API/secret keys

yescan config set SCAN_WEBSERVICE_KEY <your_api_key>

The line instructs users to configure or export SCAN_WEBSERVICE_KEY, a real service credential. It is a legitimate setup step, but mishandling the key can expose account access.

Hoch

references/privacy.md:34

Hidden file in home directory

配置保存在 `~/.yescan/config.json`。

The documentation states that the API key is stored in ~/.yescan/config.json. Hidden home-directory credential storage is real and requires strict file permissions and rotation guidance.

Hoch

references/privacy.md:42

Hidden file in home directory

> 优先级:CLI config(`~/.yescan/config.json`)> 环境变量

The documentation states that the API key is stored in ~/.yescan/config.json. Hidden home-directory credential storage is real and requires strict file permissions and rotation guidance.

Hoch

references/privacy.md:31

Generic API/secret keys

yescan config set SCAN_WEBSERVICE_KEY <your_api_key_here>

The line instructs users to configure or export SCAN_WEBSERVICE_KEY, a real service credential. It is a legitimate setup step, but mishandling the key can expose account access.

Hoch

references/privacy.md:39

Generic API/secret keys

export SCAN_WEBSERVICE_KEY=<your_api_key_here>

The line instructs users to configure or export SCAN_WEBSERVICE_KEY, a real service credential. It is a legitimate setup step, but mishandling the key can expose account access.

Hoch

SECURITY.md:21

Hidden file in home directory

| API key stored via `yescan config` (`~/.yescan/config.json`) | **disclosed**, standard practice |

The documentation states that the API key is stored in ~/.yescan/config.json. Hidden home-directory credential storage is real and requires strict file permissions and rotation guidance.

Hoch

SKILL.md:23

Generic API/secret keys

- 设置命令:`yescan config set SCAN_WEBSERVICE_KEY <your_api_key>`

The line instructs users to configure or export SCAN_WEBSERVICE_KEY, a real service credential. It is a legitimate setup step, but mishandling the key can expose account access.

Mittel

references/implementation.md:14

Hardcoded URL

→ POST https://scan-business.quark.cn/vision

The implementation documents a POST to https://scan-business.quark.cn/vision. This is a real external service call that can transmit user images and credentials.

Mittel

references/implementation.md:45

Temp directory access

"path": "/tmp/imgs/<Unix时间戳>_<16位随机十六进制串>.<扩展名>"

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

references/implementation.md:65

Temp directory access

| 图像增强 | 图片落盘 | 系统临时目录下的 `imgs/` 子目录(如 `/tmp/imgs/`)或 `--output` 目录 |

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

references/implementation.md:66

Temp directory access

| 文档转换 | 文档落盘 | 系统临时目录下的 `documents/` 子目录(如 `/tmp/documents/`)或 `--output` 目录 |

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

references/implementation.md:67

Temp directory access

| AIGC 生成 | 图片落盘 | 系统临时目录下的 `imgs/` 子目录(如 `/tmp/imgs/`)或 `--output` 目录 |

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

references/privacy.md:34

Hidden file access

配置保存在 `~/.yescan/config.json`。

The documentation states that the API key is stored in ~/.yescan/config.json. Hidden home-directory credential storage is real and requires strict file permissions and rotation guidance.

Mittel

references/privacy.md:42

Hidden file access

> 优先级:CLI config(`~/.yescan/config.json`)> 环境变量

The documentation states that the API key is stored in ~/.yescan/config.json. Hidden home-directory credential storage is real and requires strict file permissions and rotation guidance.

Mittel

references/privacy.md:21

Temp directory access

- **图像增强场景**:输出增强后图片到系统临时目录下的 `imgs/` 子目录(如 `/tmp/imgs/`)或 `--output` 指定目录

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

references/privacy.md:22

Temp directory access

- **文档转换场景**:输出文档文件到系统临时目录下的 `documents/` 子目录(如 `/tmp/documents/`)或 `--output` 指定目录

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

references/privacy.md:23

Temp directory access

- **AIGC 场景**:输出生成图片到系统临时目录下的 `imgs/` 子目录(如 `/tmp/imgs/`)或 `--output` 指定目录

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

SECURITY.md:21

Hidden file access

| API key stored via `yescan config` (`~/.yescan/config.json`) | **disclosed**, standard practice |

The documentation states that the API key is stored in ~/.yescan/config.json. Hidden home-directory credential storage is real and requires strict file permissions and rotation guidance.

Mittel

SECURITY.md:22

Temp directory access

| Output files written to system temp dir's `imgs/` and `documents/` subdirs (e.g. `/tmp/imgs/`, `/t

The skill writes processed image or document outputs to system temp directories. Sensitive OCR or document outputs could remain on disk until removed.

Mittel

SKILL.md:20

Ruby/shell backtick execution

1. `yescan --version` — 未安装则执行 `pip3 install yescan`;若版本 < 1.0.5,执行 `pip3 install yescan --upgrade`,

The skill instructs agents to run yescan --version and pip3 install or upgrade yescan. Installing or upgrading packages at runtime is real command execution and supply-chain exposure.

Mittel

SKILL.md:21

Ruby/shell backtick execution

2. `pip3 index versions yescan` — 若 INSTALLED < LATEST,告知用户有新版本可用并提供升级命令:`pip3 install yescan --upgr

The skill instructs agents to run pip3 index versions yescan and provide an upgrade command. This is real external command usage tied to package management.

Mittel

SKILL.md:22

Ruby/shell backtick execution

- **密钥检查**:`yescan config get SCAN_WEBSERVICE_KEY`,未配置则引导用户配置

The skill instructs agents to run yescan config get SCAN_WEBSERVICE_KEY. This executes the CLI and reads credential configuration state.

Mittel

SKILL.md:23

Ruby/shell backtick execution

- 设置命令:`yescan config set SCAN_WEBSERVICE_KEY <your_api_key>`

The skill provides a yescan config set command for an API key. This is real CLI execution involving secret material.

Mittel

SKILL.md:29-32

Ruby/shell backtick execution

```bash

The code block instructs agents to run yescan scene-discovery commands. These are intended external CLI calls, even though they are part of normal operation.

Mittel

SKILL.md:32-38

Ruby/shell backtick execution

```

The surrounding gate requires CLI output before proceeding. This reinforces mandatory external command execution during skill use.

Mittel

SKILL.md:38-40

Ruby/shell backtick execution

1. 未执行 `yescan --version` 确认安装状态 → 禁止继续

The gate requires yescan --version before continuing. This is an explicit external command prerequisite.

Mittel

SKILL.md:40-41

Ruby/shell backtick execution

3. 未执行 `pip3 index versions yescan` 确认最新版本状态 → 禁止继续

The gate requires pip3 index versions yescan before continuing. This is an explicit package-management command prerequisite.

Mittel

SKILL.md:41-44

Ruby/shell backtick execution

4. 未执行 `yescan config get SCAN_WEBSERVICE_KEY` 确认密钥已配置 → 禁止继续

The gate requires yescan config get SCAN_WEBSERVICE_KEY before continuing. This reads secret configuration state through an external CLI.

Mittel

SKILL.md:45-46

Ruby/shell backtick execution

- 未执行过 `--list-scenes` 则不得进入 Execute

The gate requires --list-scenes before execution. That is a real yescan CLI command used to choose later actions.

Mittel

SKILL.md:50-53

Ruby/shell backtick execution

```bash

The execute block gives yescan commands that process user-provided paths or URLs. This is the main external command surface of the skill.

Mittel

SKILL.md:53-54

Ruby/shell backtick execution

```

The surrounding execute section describes yescan command arguments for local paths and URLs. It is part of the command execution workflow.

Mittel

SKILL.md:54

Ruby/shell backtick execution

> `--path` 传本地文件路径,`--url` 传 http/https 链接。

The line defines --path and --url inputs to the yescan CLI. User-provided files or URLs become command arguments and need validation.

Mittel

SKILL.md:59

Ruby/shell backtick execution

- 多步处理为逐步 Execute → Verify 循环:step N+1 的命令在 step N Verify 通过后才构造,`--path` 取自 step N 响应中的 `data.path`

The workflow builds later commands from earlier data.path outputs. Chained command construction is real and should guard against unsafe paths.

Mittel

SKILL.md:81-88

Ruby/shell backtick execution

- 根据错误信息自行修复(如场景名无效 → 重新 `--list-scenes`)或将错误原因告知用户

The troubleshooting gate can rerun --list-scenes after errors. It remains a real external CLI invocation, though within a recovery path.

Risikofaktoren

🔑 Umgebungsvariablen (5)

README.en.md:25 README.md:25 references/privacy.md:31 references/privacy.md:39 SKILL.md:23

🌐 Netzwerkzugriff (3)

references/implementation.md:14 SKILL.md:9 SKILL.md:24

📁 Dateisystemzugriff (14)

references/implementation.md:45 references/implementation.md:65 references/implementation.md:66 references/implementation.md:67 references/privacy.md:34 references/privacy.md:42 references/privacy.md:34 references/privacy.md:42 references/privacy.md:21 references/privacy.md:22 references/privacy.md:23 SECURITY.md:21 SECURITY.md:21 SECURITY.md:22

⚙️ Externe Befehle (23)

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/yescan-ai-yescan-universal/audits/3?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/yescan-ai-yescan-universal/security.svg)](https://skillstore.io/skills/yescan-ai-yescan-universal?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/yescan-ai-yescan-universal?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/yescan-ai-yescan-universal/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/yescan-ai-yescan-universal.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

yescan-ai. (2026). yescan-universal security audit report (audit version 3) [Author version 1.0.5]. Skillstore. https://skillstore.io/skills/yescan-ai-yescan-universal/audits/3

BibTeX-Zitat

@techreport{yescan-ai-yescan-ai-yescan-universal-2026,
  author = {yescan-ai},
  title = {yescan-universal security audit report (audit version 3)},
  institution = {Skillstore},
  year = {2026},
  number = {3},
  url = {https://skillstore.io/skills/yescan-ai-yescan-universal/audits/3},
  note = {Author version 1.0.5}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "yescan-universal security audit report (audit version 3)"
version: "1.0.5"
type: report
authors:
  - name: "yescan-ai"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/yescan-ai-yescan-universal/audits/3"
identifiers:
  - type: other
    value: "skillstore:yescan-ai-yescan-universal:audit:3"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

100

Spezifikationskonformität

Was Sie erstellen können

Text aus Geschäftsbildern extrahieren

Wandelt Fotos von Rechnungen, Ausweisen, Formularen, handschriftlichen Notizen oder Tabellen in lesbaren Text oder strukturierte Ausgaben um.

Sauberere Dokumentbilder vorbereiten

Verbessert gescannte Bilder, indem Markierungen, Schatten, Handschrift oder Verzerrungen vor dem Teilen oder Archivieren entfernt werden.

Bildbasierte Dokumente konvertieren

Erstellt Word-, Excel- oder PDF-Dateien aus Bildeingaben, wenn die yescan-Szene das Zielformat unterstützt.

Diese Prompts ausprobieren

Einfache OCR ausführen

Extrahiere den Text aus diesem Bild mit yescan. Zeige mir den erkannten Inhalt und erwähne unsichere Stellen.

Ein Bild bereinigen

Verwende yescan, um dieses gescannte Bild zu verbessern. Wähle die beste verfügbare Verbesserungsszene und gib anschließend den Ausgabedateipfad zurück.

Ein Tabellenfoto konvertieren

Konvertiere dieses Foto einer Tabelle mit yescan in ein Excel-Dokument. Überprüfe das Befehlsergebnis, bevor du mir den Dateipfad gibst.

Eine mehrstufige Pipeline erstellen

Verbessere zuerst dieses Dokumentbild mit niedriger Qualität mit yescan und führe anschließend OCR auf der verbesserten Ausgabe aus. Stoppe, wenn ein Schritt fehlschlägt.

Bewährte Praktiken

Bestätige, dass der Benutzer versteht, dass Bildinhalte vor der Verarbeitung sensibler Dateien an Quark Scan gesendet werden.
Verwende die Szenenliste aus der aktuellen CLI-Sitzung, statt Szenennamen oder Parameter anzunehmen.
Bereinige temporäre Ausgabeverzeichnisse nach der Verarbeitung vertraulicher oder regulierter Bilder.

Vermeiden

Verarbeite keine Dateien oder URLs, die der Benutzer in der aktuellen Anfrage nicht ausdrücklich bereitgestellt hat.
Erfinde keine yescan-Szenennamen, Antwortfelder oder Befehlsergebnisse.
Füge keine API-Schlüssel in öffentliche Logs, Screenshots, Beispiele oder geteilte Transkripte ein.