Este informe no está traducido al idioma solicitado. Se muestra en su lugar el informe canónico en inglés.

Evaluación de seguridad versionada

ID del informe: SA-783B4D1A

11/1/2026, 2:41:20 PM

reverse-any-video evaluación de seguridad v1

Informe de certificación de seguridad de la habilidad

Historial de auditorías
Versión del escáner 3.0.0 Modelo de auditoría: codex Último informe publicado
Nombre de la habilidad
reverse-any-video
Versión
v1
Mantenedor
heygen-com
Fuente
github.com/heygen-com/hyperframes/tree/af0d68d612ebd9c419f27d9ebc8068512667bae4/skills/reverse-any-video
Cobertura
4 Archivos escaneados · 169 Líneas analizadas
Versión de la política
skillstore-security-audit-policy-v1

Gravedad máxima de hallazgo confirmada

Alto

2 hallazgos de seguridad confirmados requieren atención.

Contexto de instalación

Consulta la página actual de Skill

Esta página resume únicamente las pruebas del informe. La página de la Skill proporciona el aviso de instalación canónico.

Abrir la página actual de la habilidad

Este informe no bloquea ni autoriza el manifiesto ni el ZIP.

The 17 static findings are false positives involving Markdown, legitimate media commands, account status checks, and supervised rendering. Separate risks involve paid generation without confirmation, suppressed cost disclosure, and cloud processing without explicit approval. No evidence found of credential theft, destructive commands, or audit-directed prompt injection.

Posición del informe

Último informe publicado

«Más reciente» se refiere a la secuencia del informe, no a la actualidad del artefacto.

Atestación de auditoría

Atestación activa

Hay una atestación pública disponible para este informe exacto.

Verificación humana

No verificado

No se ha registrado ninguna verificación humana para este informe.

Cobertura

4 Archivos escaneados · 169 Líneas analizadas

2 elementos mostrados para revisión

Limitaciones

Este informe no afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado y no prueba la ausencia de efectos secundarios.

Cadena de evidencias

Sigue la evidencia desde la vinculación del código fuente hasta el contrato de instalación. La evidencia disponible permite la verificación; no constituye una garantía de seguridad.

  1. Fuente

    Vinculado al commit y la ruta

  2. Artefacto

    Hashes de contenido y árbol vinculados

  3. Auditoría

    Completo

  4. Contrato de instalación

    Abrir el manifiesto para verificar

    Abrir el manifiesto

Capacidades observadas

Observado significa que este informe registró evidencia de respaldo. No registrado no prueba que una capacidad esté ausente.

Contiene scripts

Puede ejecutar código incluido con la habilidad.

No registrado por esta auditoría

Acceso a red

Puede conectarse a servicios externos.

No registrado por esta auditoría

Acceso al sistema de archivos

Puede leer o escribir archivos locales.

Observado en 1 ubicación de evidencia

Variables de entorno

Puede leer valores del entorno del proceso.

No registrado por esta auditoría

Comandos externos

Puede invocar comandos o programas fuera de la habilidad.

Observado en 12 ubicaciones de evidencia

Hallazgos de riesgos

Las preocupaciones de seguridad confirmadas están separadas de los elementos que aún deben revisarse.

Preocupaciones de seguridad confirmadas (2)

RISK-001 Alto
SKILL.md:14SKILL.md:27SKILL.md:38
Paid Generation Without Approval and Cost Disclosure
The skill requires re-shooting people "without asking or naming a price" and excludes "prices or credit numbers" from the report. This enables undisclosed spending and obscures usage.
The instructions explicitly suppress price disclosure and omit an approval step for re-shooting. They address existing credit limits but do not require an initial budget.
RISK-002 Medio
SKILL.md:27SKILL.md:35
Cloud Media Processing Without an Explicit Approval Gate
HeyGen re-shooting and cloud rendering are default steps, but the workflow does not require approval before external source media processing. Sensitive footage could leave local control.
The workflow explicitly selects HeyGen and cloud rendering without a transfer approval gate. Actual transfer details and service retention behavior are not available here.

Medidas correctivas

Esta auditoría registra correcciones sugeridas. Aplicarlas es responsabilidad de la persona encargada del mantenimiento.

  1. FIX-001
    Alto
    Paid generation starts without confirmation, while cost and credit information is deliberately withheld.
    Disclose estimated charges, obtain an explicit budget, and enforce credit limits before generation and retries. Include actual usage in the completion report.
  2. FIX-002
    Medio
    The workflow defaults to HeyGen generation and cloud rendering without an explicit approval step for source media processing.
    Explain which media leaves the device and which services receive it. Obtain approval before transfer and offer a local workflow for sensitive footage.

Evidencia experta

Identidad inmutable del sujeto, metadatos del escáner, coincidencias descartadas y evidencia a nivel de código fuente.

Sujeto del artefacto

Commit de Marketplace
783b4d1aff1f9ed94192c31f50808efadb70aadd
Hash del contenido
ae77e3436fc40bf80604d7b590c7c169da805b9eb660cdf338e63cdda35203d5
Hash del árbol
b7d247f06960c17106aab8a15bcb1b43ae838d3bd1547729494268f47de4a0c0
Ruta del Skill
skills/heygen-com/reverse-any-video
Hash de la carga de auditoría
fbb05f4c8c21a879f7975f8dd29a9222

Metadatos del análisis

Modelo de auditoría: codex

Estado del análisis: Completo

El alcance se limita a los archivos, líneas, métodos y pruebas registrados. No se afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado.

Verificar y exportar

Informe JSON Atestación de auditoría firmada CITATION.cff SARIF 2.1.0 Manifiesto de instalación firmado Fuente

El manifiesto y el archivo de bloqueo vinculan los artefactos de instalación a hashes criptográficos. Esta afirmación de integridad es independiente de la evaluación de seguridad.

Atestación de auditoría: active