📦

javascript-sdk

Name: javascript-sdk
Author: inference-sh-9

Revisión del contenido r1 Riesgo alto ⚙️ Comandos externos📁 Acceso al sistema de archivos🔑 Variables de entorno🌐 Acceso a red⚡ Contiene scripts

Crear apps de IA en JavaScript con inference.sh

Los equipos de JavaScript necesitan patrones claros para llamar a inference.sh desde apps y servicios. Esta skill proporciona orientación sobre configuración del SDK, ejecución de apps, streaming, archivos, agentes y proxies.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

Detente y solicita confirmación antes de instalar.

Revisa el plan y obtén el consentimiento explícito del usuario antes de modificar archivos.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "javascript-sdk" from https://skillstore.io/skills/inference-sh-9-javascript-sdk.md and its manifest at https://skillstore.io/api/skills/inference-sh-9-javascript-sdk/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/inference-sh-9-javascript-sdk.md Manifest firmado GET /api/skills/inference-sh-9-javascript-sdk/manifest Lockfile firmado GET /api/skills/inference-sh-9-javascript-sdk/lockfile

Pruébalo

Usando "javascript-sdk". Ayúdame a agregar el SDK a una app de Next.js sin exponer una clave de API.

Resultado esperado:

Una ruta de proxy backend, configuración del cliente frontend, orientación sobre variables de entorno y checklist de despliegue.

Usando "javascript-sdk". Diseña un agente que pueda calcular valores y notificar a un canal de equipo.

Resultado esperado:

Un plan de herramientas con parámetros tipados, validación, aprobación antes de las notificaciones y sin ejecución dinámica de código.

Usando "javascript-sdk". Agrega soporte de subida de archivos para un flujo de trabajo de inferencia de imágenes.

Resultado esperado:

Un flujo de manejo de archivos para archivos del navegador y rutas del servidor, con pasos de subida, ejecución de tareas y manejo de resultados.

Auditoría de seguridad

Riesgo alto

v4 • 5/7/2026 Abrir el informe versionado

Most static findings are false positives from Markdown examples, JavaScript template literals, placeholder URLs, and documented SDK configuration. I confirmed the eval-based tool handler examples as real high-risk patterns because agent tool input can reach dynamic code execution. I also found overbroad Bash permissions in the skill metadata, which should be narrowed before publication.

Archivos escaneados

3,958

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (1)

Alto

SKILL.md:4

Overbroad Command Permissions in Skill Metadata

The skill front matter grants Bash access for npm, npx, node, pnpm, and yarn commands. A documentation skill does not need broad Node and package-manager execution permissions, and npx can run remote package code.

The allowed-tools line directly grants broad command patterns. This is a real permission-surface risk even though the surrounding content is mainly documentation.

Elementos de revisión de capacidades (2)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

references/tool-builder.md:240

Dynamic code evaluation with eval()

result = eval(call.args.expression);

The example evaluates call.args.expression with eval inside an agent tool handler. Tool arguments can be model or user influenced, so copied code could allow arbitrary code execution.

Alto

references/tool-builder.md:387

Dynamic code evaluation with eval()

const result = eval(call.args.expression);

The example evaluates call.args.expression with eval inside an agent tool handler. Tool arguments can be model or user influenced, so copied code could allow arbitrary code execution.

Factores de riesgo

⚙️ Comandos externos (111)

📁 Acceso al sistema de archivos (16)

references/agent-patterns.md:153 references/agent-patterns.md:159 references/agent-patterns.md:166 references/agent-patterns.md:129 references/files.md:139 references/files.md:141 references/files.md:153 references/files.md:155 references/files.md:236 references/files.md:249 references/files.md:272 references/files.md:278 references/files.md:412 references/files.md:417 SKILL.md:350 SKILL.md:352

🔑 Variables de entorno (76)

🌐 Acceso a red (26)

⚡ Contiene scripts (4)

references/tool-builder.md:240 references/tool-builder.md:387 references/typescript.md:316 references/typescript.md:320

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/inference-sh-9-javascript-sdk/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/inference-sh-9-javascript-sdk/security.svg)](https://skillstore.io/skills/inference-sh-9-javascript-sdk?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/inference-sh-9-javascript-sdk?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/inference-sh-9-javascript-sdk/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/inference-sh-9-javascript-sdk.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

inference-sh-9. (2026). javascript-sdk security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/inference-sh-9-javascript-sdk/audits/4

Cita BibTeX

@techreport{inference-sh-9-inference-sh-9-javascript-sdk-2026,
  author = {inference-sh-9},
  title = {javascript-sdk security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/inference-sh-9-javascript-sdk/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "javascript-sdk security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "inference-sh-9"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/inference-sh-9-javascript-sdk/audits/4"
identifiers:
  - type: other
    value: "skillstore:inference-sh-9-javascript-sdk:audit:4"
    description: "Skillstore immutable audit report identifier"

Comparar variantes

2 variantes instalables

Cada autor sigue siendo un skill instalable independiente. La variante recomendada se ordena según la evidencia de Skillstore.

Por qué esta variante es la primera

Mayor uso en Skillstore

Autor / fuente Puntuación de Skillstore Confianza de la evidencia Uso en Skillstore Actualizado

inferen-sh Recomendado

inferen-sh-javascript-sdk

Puntuación de Skillstore 38

Confianza de la evidencia Medio

Uso en Skillstore 36

Actualizado

2026-09-09

inference-sh-9 Actual

inference-sh-9-javascript-sdk

Puntuación de Skillstore 38

Confianza de la evidencia Medio

Uso en Skillstore 8

Actualizado

2026-09-09

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Agregar funciones de IA a una app de React

Usa patrones de subida desde el navegador, hooks y configuración de proxy para agregar inferencia de imágenes o texto de forma segura.

Crear un servicio de inferencia en Node.js

Usa llamadas tipadas al SDK, progreso en streaming, sesiones y manejo de archivos en flujos de trabajo del lado del servidor.

Diseñar agentes de IA que usen herramientas

Crea agentes con herramientas tipadas, compuertas de aprobación, herramientas de app, herramientas webhook y skills reutilizables.

Prueba estos prompts

Instalar el SDK

Ayúdame a agregar @inferencesh/sdk a un proyecto JavaScript y hacer una llamada básica a una app de inference.sh.

Proteger las claves de API del navegador

Muéstrame cómo usar el SDK de JavaScript de inference.sh desde una app de Next.js sin exponer mi clave de API.

Transmitir el progreso de una tarea

Diseña un flujo de TypeScript que inicie una tarea de inference.sh y muestre progreso en streaming a los usuarios.

Crear una herramienta de agente segura

Crea un patrón de herramienta de agente de inference.sh que valide entradas, evite eval y solicite aprobación del usuario antes de acciones externas.

Mejores prácticas

Mantén las claves de API en el servidor y enruta el tráfico del navegador a través de un proxy backend.
Valida cada argumento de herramienta de agente y reemplaza eval por un parser restringido u operaciones explícitas.
Fija las referencias de apps, maneja fallos de tareas y prueba el comportamiento de streaming antes del lanzamiento.

Evitar

No coloques claves de API secretas en variables de entorno públicas del frontend.
No copies ejemplos de calculadora basados en eval en herramientas de producción.
No permitas que los agentes llamen a servicios externos sin aprobación y registro de auditoría.