📦

infsh-cli

Name: infsh-cli
Author: tool-belt

Révision du contenu r1 Critique 🌐 Accès réseau🔑 Variables d’environnement📁 Accès au système de fichiers⚙️ Commandes externes

Exécuter des apps IA avec inference.sh CLI

Les développeurs ont besoin d’un parcours unique en ligne de commande pour exécuter de nombreux modèles d’IA hébergés sans gérer de GPU. Cette compétence guide Claude, Codex et Claude Code dans la découverte d’inference.sh, l’authentification, l’exécution d’apps et le suivi des tâches.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

N’installez pas automatiquement ce Skill.

La politique de référence exige un examen par un opérateur avant toute action d’installation.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "infsh-cli" from https://skillstore.io/skills/tool-belt-infsh-cli.md and its manifest at https://skillstore.io/api/skills/tool-belt-infsh-cli/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/tool-belt-infsh-cli.md manifest signé GET /api/skills/tool-belt-infsh-cli/manifest lockfile signé GET /api/skills/tool-belt-infsh-cli/lockfile

Tester

Utilisation de « infsh-cli ». Rechercher des apps de génération vidéo hébergées.

Résultat attendu:

Une courte liste d’apps inference.sh correspondantes avec leurs noms, catégories et notes sur la vitesse ou la qualité.

Utilisation de « infsh-cli ». Exécuter une tâche de génération d’images à partir d’un prompt.

Résultat attendu:

Une commande infsh confirmée, des notes de progression de tâche et des liens ou références de fichiers pour les sorties générées.

Utilisation de « infsh-cli ». Préparer une configuration d’authentification adaptée à la CI.

Résultat attendu:

Des conseils pour utiliser INFSH_API_KEY de manière sécurisée, éviter de journaliser des secrets et vérifier l’authentification avant d’exécuter des tâches.

Audit de sécurité

Critique

v4 • 07/07/2026 Ouvrir le rapport versionné

Most static findings are Markdown examples for a CLI skill and were false positives, including API key placeholders, documentation links, shell completion paths, and app command tables. Confirmed risks are the repeated curl-to-shell installer, command-substitution download flow, installation of a downloaded binary into PATH, automatic local file uploads to cloud apps, and Twitter/X automation side effects. No prompt injection attempt or overt malicious instruction was found.

Fichiers analysés

596

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (6)

Critique

references/authentication.md:6

Pipe to shell pattern

curl -fsSL https://cli.inference.sh | sh

The documentation tells users to pipe a remote HTTPS script directly into sh. If that endpoint or delivery path is compromised, arbitrary installer code can execute without prior review.

Critique

references/authentication.md:44

Pipe to shell pattern

curl -fsSL https://cli.inference.sh | sh

The reinstall instructions repeat the same remote curl-to-shell pattern. This is a confirmed critical installation risk even if the service is legitimate.

Critique

references/cli-reference.md:6

Pipe to shell pattern

curl -fsSL https://cli.inference.sh | sh

The CLI reference includes a remote installer piped directly into sh. This can execute arbitrary code from the installer endpoint before the user can inspect it.

Critique

SKILL.md:16

Pipe to shell pattern

curl -fsSL https://cli.inference.sh | sh

The primary install path pipes a remote script directly to sh. This is a confirmed critical pattern because arbitrary installer code can run without local review.

Élevé

SKILL.md:56-71 references/running-apps.md:21-37

Automatic Local File Upload to Cloud Services

The skill states that the CLI automatically uploads local files when a path is provided instead of a URL. This can disclose local media or documents to external apps if commands run without confirmation.

Both cited sections explicitly say local file paths are automatically uploaded and show media file examples. The capability is intentional, but it is a clear data disclosure risk.

Moyen

SKILL.md:49-50 SKILL.md:96

External Social Media Account Actions

The skill documents X/Twitter apps for posting tweets, media posts, direct messages, following, liking, and retweeting. These commands can change a connected account state and publish user-visible content.

The cited lines show a post-tweet example and list X automation actions. These are explicit external side effects, not inferred behavior.

Éléments d’évaluation des capacités (11)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

SKILL.md:31

Hidden file in home directory

> mv inferencesh-cli-* ~/.local/bin/inferencesh

The manual installer moves a downloaded binary into ~/.local/bin, a PATH location in the user home directory. This is legitimate setup, but it can create persistence for a compromised binary.

Moyen

SKILL.md:26

Shell command substitution

> curl -LO $(curl -fsSL https://dist.inference.sh/cli/manifest.json | grep -o '"url":"[^"]*"' | grep

The manual installer evaluates command substitution from a remote manifest and passes the selected URL to curl. If the manifest or parsing is compromised, the user may download an unintended binary.

Moyen

SKILL.md:23-32

Template literal with command substitution

> ```bash

The label is imprecise, but this block contains shell command substitution for a manual binary download. The pattern is security-sensitive because remote manifest content influences the downloaded artifact.

Moyen

SKILL.md:31

Hidden file access

> mv inferencesh-cli-* ~/.local/bin/inferencesh

The hidden home-directory path is used to install an executable that future shells may run. The intent is normal installation, but the operation is security-sensitive.

Faible

references/authentication.md:6

Hardcoded URL

curl -fsSL https://cli.inference.sh | sh

This URL is used in a command that fetches a remote installer for shell execution. The endpoint is expected, but it is still a security-sensitive network dependency.

Faible

references/authentication.md:44

Hardcoded URL

curl -fsSL https://cli.inference.sh | sh

This URL is used in a command that fetches a remote installer for shell execution. The endpoint is expected, but it is still a security-sensitive network dependency.

Faible

references/cli-reference.md:6

Hardcoded URL

curl -fsSL https://cli.inference.sh | sh

This URL is used in a command that fetches a remote installer for shell execution. The endpoint is expected, but it is still a security-sensitive network dependency.

Faible

SKILL.md:16

Hardcoded URL

curl -fsSL https://cli.inference.sh | sh

This URL is used in a command that fetches a remote installer for shell execution. The endpoint is expected, but it is still a security-sensitive network dependency.

Faible

SKILL.md:20

Hardcoded URL

> **What does the installer do?** The [install script](https://cli.inference.sh) detects your OS and

This link points to the same remote install script described by the curl-to-shell instructions. It is expected documentation, but it supports a security-sensitive installer flow.

Faible

SKILL.md:25

Hardcoded URL

> curl -LO https://dist.inference.sh/cli/checksums.txt

The manual install downloads checksum metadata from a fixed external distribution host. This is an expected dependency, but integrity relies on that remote source.

Faible

SKILL.md:26

Hardcoded URL

> curl -LO $(curl -fsSL https://dist.inference.sh/cli/manifest.json | grep -o '"url":"[^"]*"' | grep

The manifest URL is fetched during manual installation and influences which binary is downloaded. This is a real supply-chain dependency even though the host is expected.

Facteurs de risque

🌐 Accès réseau (17)

references/authentication.md:6 references/authentication.md:44 references/cli-reference.md:6 references/running-apps.md:152 SKILL.md:7 SKILL.md:11 SKILL.md:16 SKILL.md:20 SKILL.md:25 SKILL.md:26 SKILL.md:138 SKILL.md:139 SKILL.md:140 SKILL.md:141 SKILL.md:142 SKILL.md:143 SKILL.md:144

🔑 Variables d’environnement (3)

references/authentication.md:30 references/authentication.md:53 references/cli-reference.md:72

📁 Accès au système de fichiers (5)

references/cli-reference.md:84 references/cli-reference.md:84 references/running-apps.md:41 SKILL.md:31 SKILL.md:31

⚙️ Commandes externes (20)

Motifs détectés

Pipe to shell pattern×4

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/tool-belt-infsh-cli/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/tool-belt-infsh-cli/security.svg)](https://skillstore.io/skills/tool-belt-infsh-cli?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/tool-belt-infsh-cli?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/tool-belt-infsh-cli/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/tool-belt-infsh-cli.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

tool-belt. (2026). infsh-cli security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/tool-belt-infsh-cli/audits/4

Citation BibTeX

@techreport{tool-belt-tool-belt-infsh-cli-2026,
  author = {tool-belt},
  title = {infsh-cli security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/tool-belt-infsh-cli/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "infsh-cli security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "tool-belt"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/tool-belt-infsh-cli/audits/4"
identifiers:
  - type: other
    value: "skillstore:tool-belt-infsh-cli:audit:4"
    description: "Skillstore immutable audit report identifier"

Comparer les variantes

9 variantes installables

Chaque auteur reste un skill installable distinct. La variante recommandée est classée selon les preuves Skillstore.

Pourquoi cette variante est première

Utilisation Skillstore plus élevée

Auteur / source Score Skillstore Niveau de confiance des preuves Utilisation Skillstore Mis à jour

inferen-sh Recommandé

inferen-sh-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 79

Mis à jour

2026-09-09

qu-skills

qu-skills-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 55

Mis à jour

2026-09-09

tool-belt Actuelle

tool-belt-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 50

Mis à jour

2026-09-09

inference-skills

inference-skills-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 47

Mis à jour

2026-09-09

skillssh

skillssh-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 45

Mis à jour

2026-09-09

infsh-skills

infsh-skills-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 44

Mis à jour

2026-09-09

inference-sh-skills

inference-sh-skills-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 43

Mis à jour

2026-09-09

halt-catch-fire

halt-catch-fire-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 35

Mis à jour

2026-09-09

101-skills

101-skills-infsh-cli

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 10

Mis à jour

2026-10-12

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Prototyper des workflows IA multimodaux

Trouver et exécuter des apps hébergées d’image, de vidéo, d’audio et de LLM depuis un workflow de terminal.

Automatiser des tâches de modèles dans des scripts

Utiliser l’authentification par clé API, des fichiers d’entrée, des exécutions sans attente et l’interrogation de tâches dans des jobs répétables.

Évaluer les services IA disponibles

Rechercher des catégories d’apps, inspecter des schémas, générer des entrées d’exemple et comparer les sorties de modèles.

Essayez ces prompts

Trouver une app utile

Utilise infsh pour rechercher des apps de génération d’images. Affiche les options les plus pertinentes et explique à quoi sert chacune.

Exécuter une tâche de modèle simple

Exécute une app inference.sh pour la génération texte-vers-image avec un court prompt. Confirme la commande avant de dépenser des crédits.

Créer un workflow avec fichier d’entrée

Génère un fichier d’entrée d’exemple pour une app de génération vidéo, explique les champs, puis exécute-le après mon approbation du prompt.

Construire un flux de suivi de tâches

Soumets une tâche inference.sh de longue durée sans attendre, capture l’ID de tâche, interroge le statut et enregistre le résultat une fois terminé.

Bonnes pratiques

Examiner les commandes infsh générées avant d’exécuter des tâches qui dépensent des crédits ou publient du contenu.
Utiliser des fichiers d’entrée d’exemple pour les apps complexes afin que les champs puissent être vérifiés avant l’exécution.
Conserver les clés API dans des gestionnaires de secrets ou des variables d’environnement protégées.

Éviter

Ne collez pas de clés API dans des prompts, tickets, journaux ou fichiers commités.
Ne passez pas de fichiers locaux privés comme entrées sauf si le téléversement vers le cloud est prévu.
N’exécutez pas d’actions Twitter/X sans approbation explicite du texte et des médias exacts.