📦

javascript-sdk

Name: javascript-sdk
Author: inferen-sh

Révision du contenu r2 Risque élevé ⚙️ Commandes externes📁 Accès au système de fichiers🔑 Variables d’environnement🌐 Accès réseau⚡ Contient des scripts

Créer des applications avec le SDK JavaScript inference.sh

Les équipes JavaScript ont besoin de modèles clairs pour l’exécution d’applications d’IA, les agents, les fichiers, le streaming et la sécurité frontend. Cette compétence fournit des conseils pratiques pour le SDK inference.sh avec Node.js, TypeScript, React et des proxys serveur.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "javascript-sdk" from https://skillstore.io/skills/inferen-sh-javascript-sdk.md and its manifest at https://skillstore.io/api/skills/inferen-sh-javascript-sdk/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/inferen-sh-javascript-sdk.md manifest signé GET /api/skills/inferen-sh-javascript-sdk/manifest lockfile signé GET /api/skills/inferen-sh-javascript-sdk/lockfile

Tester

Utilisation de « javascript-sdk ». Créer une configuration Next.js sécurisée pour les appels navigateur vers inference.sh.

Résultat attendu:

Un plan de proxy backend avec stockage de clé côté serveur, configuration de proxy client, contrôles d’authentification, limitation du débit et notes de déploiement.

Utilisation de « javascript-sdk ». Expliquer comment diffuser la progression d’une tâche de génération d’image de longue durée.

Résultat attendu:

Un plan d’intégration étape par étape couvrant les options de stream, la gestion de la progression, l’affichage des journaux, la gestion des sorties partielles et les états d’achèvement.

Utilisation de « javascript-sdk ». Examiner la conception de mon outil d’agent pour vérifier sa préparation à la production.

Résultat attendu:

Une checklist couvrant les schémas d’outils, les exigences d’approbation, la portée des secrets, la gestion des erreurs, les journaux d’audit et le comportement de repli sécurisé.

Audit de sécurité

Risque élevé

v5 • 06/08/2026 Ouvrir le rapport versionné

Most static matches are documentation syntax or legitimate SDK examples, including template literals, file operations, and server-side environment configuration. Confirmed risks include direct eval of agent input, an unpinned external skill install, broad package execution permissions, agent-callable webhooks, and a browser-exposed API key example.

Fichiers analysés

3,961

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (1)

Élevé

SKILL.md:4

Broad Package Execution Permission

The skill permits unrestricted npm, npx, node, pnpm, and yarn commands. These patterns can execute arbitrary packages and lifecycle scripts with the agent process permissions.

The allowed-tools frontmatter explicitly grants wildcard package-manager and Node command access. Those commands can execute downloaded code without a command-specific allowlist.

Éléments d’évaluation des capacités (7)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

references/server-proxy.md:395

Generic API/secret keys

: { apiKey: process.env.NEXT_PUBLIC_INFERENCE_API_KEY })

The example places an inference API key in NEXT_PUBLIC_INFERENCE_API_KEY for direct browser use. Next.js exposes NEXT_PUBLIC values to client bundles, disclosing the credential.

Élevé

references/tool-builder.md:240

Dynamic code evaluation with eval()

result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

Élevé

references/tool-builder.md:387

Dynamic code evaluation with eval()

const result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

Élevé

SKILL.md:7

Ruby/shell backtick execution

> **Install the belt CLI skill:** `npx skills add belt-sh/cli`

Line 7 instructs users to run an unpinned npx command that installs the external belt-sh/cli skill. This creates package and skill supply-chain exposure.

Moyen

references/tool-builder.md:159

Slack webhook

const slack = webhookTool('notify_slack', 'https://hooks.slack.com/services/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Moyen

references/tool-builder.md:360

Slack webhook

const slack = webhookTool('notify', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Moyen

SKILL.md:301

Slack webhook

const notify = webhookTool('slack', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Facteurs de risque

⚙️ Commandes externes (50)

📁 Accès au système de fichiers (16)

references/agent-patterns.md:153 references/agent-patterns.md:159 references/agent-patterns.md:166 references/agent-patterns.md:129 references/files.md:139 references/files.md:141 references/files.md:153 references/files.md:155 references/files.md:236 references/files.md:249 references/files.md:272 references/files.md:278 references/files.md:412 references/files.md:417 SKILL.md:352 SKILL.md:354

🔑 Variables d’environnement (50)

🌐 Accès réseau (26)

⚡ Contient des scripts (4)

references/tool-builder.md:240 references/tool-builder.md:387 references/typescript.md:316 references/typescript.md:320

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg)](https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/inferen-sh-javascript-sdk.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

inferen-sh. (2026). javascript-sdk security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5

Citation BibTeX

@techreport{inferen-sh-inferen-sh-javascript-sdk-2026,
  author = {inferen-sh},
  title = {javascript-sdk security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "javascript-sdk security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "inferen-sh"
date-released: "2026-08-06"
url: "https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5"
identifiers:
  - type: other
    value: "skillstore:inferen-sh-javascript-sdk:audit:5"
    description: "Skillstore immutable audit report identifier"

Comparer les variantes

2 variantes installables

Chaque auteur reste un skill installable distinct. La variante recommandée est classée selon les preuves Skillstore.

Pourquoi cette variante est première

Utilisation Skillstore plus élevée

Auteur / source Score Skillstore Niveau de confiance des preuves Utilisation Skillstore Mis à jour

inferen-sh Recommandé Actuelle

inferen-sh-javascript-sdk

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 41

Mis à jour

2026-09-09

inference-sh-9

inference-sh-9-javascript-sdk

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 12

Mis à jour

2026-09-09

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Ajouter des applications d’IA à des services Node.js

Utilisez le SDK pour exécuter des applications inference.sh, gérer le statut des tâches, diffuser la progression en streaming et gérer les erreurs dans une application serveur.

Créer des fonctionnalités d’IA React sécurisées

Configurez les clients navigateur via un proxy backend afin que les applications React et Next.js puissent appeler inference.sh sans exposer les clés API.

Créer des workflows d’agents

Combinez des agents modèles, des outils personnalisés, des pièces jointes de fichiers, des sessions et une approbation humaine pour des expériences d’agent contrôlées.

Essayez ces prompts

Installer le SDK

Aidez-moi à ajouter @inferencesh/sdk à mon projet Node.js et à initialiser un client avec une clé API côté serveur.

Exécuter une application

Montrez-moi comment exécuter une application inference.sh depuis TypeScript, attendre son achèvement et gérer la réussite ou l’échec.

Ajouter un proxy frontend

Concevez une route de proxy Next.js pour inference.sh afin que mon client React ne reçoive jamais la clé API.

Concevoir un workflow d’agent

Aidez-moi à créer un workflow d’agent inference.sh avec des outils typés, des pièces jointes de fichiers, des réponses en streaming et des points de validation par approbation humaine.

Bonnes pratiques

Conservez les clés API inference.sh sur des serveurs de confiance ou dans des gestionnaires de secrets, jamais dans des bundles navigateur.
Utilisez les types TypeScript pour le statut des tâches, les arguments d’outils et la gestion des erreurs afin de réduire les erreurs d’intégration.
Exigez une approbation et une journalisation d’audit pour les outils qui écrivent des fichiers, appellent des webhooks ou exécutent du code.

Éviter

N’exposez pas les clés API de production via des variables d’environnement NEXT_PUBLIC ou une configuration côté client.
N’évaluez pas les arguments d’outils générés par le modèle avec eval() ou toute autre exécution de code non restreinte.
N’activez pas des webhooks étendus, l’accès aux fichiers ou l’exécution de code sans permissions limitées et confirmation de l’utilisateur.

Foire aux questions

Quel package cette compétence couvre-t-elle ?

Elle couvre le package @inferencesh/sdk pour les projets JavaScript et TypeScript.

Puis-je l’utiliser avec React ou Next.js ?

Oui. Elle inclut des modèles de client navigateur et des exemples de proxy serveur pour une intégration frontend sécurisée.

Prend-elle en charge le streaming ?

Oui. Les références expliquent la progression des tâches en streaming, les journaux, les sorties partielles et les callbacks de messages d’agent.

Gère-t-elle les fichiers ?

Oui. Elle documente les imports, les téléchargements, les buffers, les streams, les objets File du navigateur et les pièces jointes de fichiers d’agent.

Est-ce un modèle d’application complet ?

Non. Il s’agit d’une compétence de documentation avec des modèles d’implémentation que vous adaptez dans votre propre projet.

Que dois-je examiner avant une utilisation en production ?

Examinez le stockage des clés API, l’authentification du proxy, les limites de débit, les permissions des webhooks, l’accès aux fichiers et les flux d’approbation des outils.