Compétences viral-verification

📦

viral-verification

Name: viral-verification
Author: wangdefou-dev

Révision du contenu r1 Risque élevé ⚙️ Commandes externes📁 Accès au système de fichiers🔑 Variables d’environnement

Améliorer les publications sociales virales

Les créateurs ont besoin d’un moyen clair d’évaluer si une publication possède de solides mécaniques virales. Cette compétence note les brouillons, explique les points faibles et réécrit le contenu avec des accroches, un rythme et une valeur plus efficaces.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "viral-verification" from https://skillstore.io/skills/wangdefou-dev-viral-verification.md and its manifest at https://skillstore.io/api/skills/wangdefou-dev-viral-verification/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/wangdefou-dev-viral-verification.md manifest signé GET /api/skills/wangdefou-dev-viral-verification/manifest lockfile signé GET /api/skills/wangdefou-dev-viral-verification/lockfile

Tester

Utilisation de « viral-verification ». Une courte publication sur l’apprentissage d’une nouvelle méthode de productivité.

Résultat attendu:

Le rapport attribue un score viral modéré, signale un faible déficit de curiosité, suggère une première ligne plus percutante et réécrit la publication avec un contraste plus clair.

Utilisation de « viral-verification ». Un thread de lancement de produit avec de nombreux détails de fonctionnalités.

Résultat attendu:

L’analyse signale une faible résonance émotionnelle, recommande une ouverture centrée sur la douleur utilisateur et transforme le thread en une histoire plus concise.

Utilisation de « viral-verification ». Un dossier Markdown de publications sociales non publiées.

Résultat attendu:

Le script crée des rapports de vérification distincts avec des scores, des notes d’amélioration et des versions réécrites dans le dossier de sortie.

Audit de sécurité

Risque élevé

v10 • 07/07/2026 Ouvrir le rapport versionné

The command-execution findings are false positives caused by TypeScript template literals and Markdown code fences. Real concerns remain: the script loads a parent .env file, reads local input files, uses API credentials, and sends content to an external model endpoint. The skill needs clear disclosure, path restrictions, and safer secret handling before broad publication.

Fichiers analysés

290

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (5)

Élevé

index.ts:9

Environment file access

const envPath = path.join(projectRoot, '.env');

The code constructs a path to a parent .env file. Targeting that sensitive file is real secret-access behavior.

Élevé

index.ts:20

Environment file access

const ANTHROPIC_API_KEY = process.env.ANTHROPIC_API_KEY;

The code reads the API key that may have been loaded from .env. This is direct handling of a secret value.

Élevé

index.ts:109-116 index.ts:125-129 index.ts:160-167

Local File Content Sent to External Model Service

index.ts reads a local file, builds a prompt, and submits it through the Anthropic SDK. User-provided absolute paths are allowed, so sensitive files could be disclosed if selected.

The data flow from argv file path to readFileSync and messages.create is direct. The code does not restrict user-supplied paths to SOURCE_DIR.

Élevé

index.ts:20-36 index.ts:109-116

Configurable Model Endpoint Can Receive Secrets and Content

The client uses ANTHROPIC_BASE_URL as baseURL while also passing ANTHROPIC_API_KEY. A custom endpoint could receive file content and credentials.

The baseURL override and API key are both passed to the SDK client. Custom endpoints can be legitimate, so confidence is high enough to flag but not absolute.

Moyen

SKILL.md:15-22 SKILL.md:24-31

Engagement Manipulation Guidance

The skill asks the model to maximize viral engagement using anger, fear, surprise, and other high-arousal emotions. This can support manipulative social media messaging.

The prompt explicitly optimizes for viral potential and high-arousal emotions. It is framed as content growth, so this is a misuse-risk finding rather than clear malware.

Éléments d’évaluation des capacités (11)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

index.ts:128

Node.js fs operations

const content = fs.readFileSync(filePath, 'utf-8');

filePath can come from a user-supplied argument and is not constrained to the source directory. The file contents are then sent to the model call, creating local data disclosure risk.

Élevé

index.ts:128

Synchronous file operations

const content = fs.readFileSync(filePath, 'utf-8');

The synchronous read can load any path accepted from the command line. Because that content is submitted to the model API, the read is security-relevant.

Élevé

index.ts:8

Path resolve with ..

const projectRoot = path.resolve(__dirname, '../../');

The script resolves two parent directories above the skill folder. This is not user-controlled traversal, but it enables parent-scope .env and output access.

Élevé

index.ts:8

Path traversal sequence

const projectRoot = path.resolve(__dirname, '../../');

The ../../ sequence intentionally moves outside the skill directory. That broader filesystem scope is security-relevant for a marketplace skill.

Élevé

index.ts:20

Generic API/secret keys

const ANTHROPIC_API_KEY = process.env.ANTHROPIC_API_KEY;

The script reads the ANTHROPIC_API_KEY secret from the environment. This key is used for outbound SDK calls and must be treated as sensitive.

Élevé

index.ts:35

Generic API/secret keys

apiKey: ANTHROPIC_API_KEY || 'dummy',

The API key is passed into the Anthropic client. This is expected for API use, but it is high-impact secret handling in a marketplace skill.

Moyen

index.ts:18

dotenv library

dotenv.config({ path: envPath, override: true });

dotenv loads a parent-scope .env file with override enabled. This can replace existing environment configuration and expose secrets to the script.

Faible

index.ts:20

Environment variable access (dot notation)

const ANTHROPIC_API_KEY = process.env.ANTHROPIC_API_KEY;

The code reads ANTHROPIC_API_KEY from the environment. This is expected for the SDK, but it is still sensitive secret access.

Faible

index.ts:21

Environment variable access (dot notation)

const ANTHROPIC_BASE_URL = process.env.ANTHROPIC_BASE_URL;

The code reads ANTHROPIC_BASE_URL and later passes it as the SDK endpoint. This is legitimate configuration but security-relevant because it can redirect API traffic.

Faible

index.ts:20

Environment variable object

const ANTHROPIC_API_KEY = process.env.ANTHROPIC_API_KEY;

This duplicate process.env access points to the same API key read. It is sensitive environment access, even though the use is expected.

Faible

index.ts:21

Environment variable object

const ANTHROPIC_BASE_URL = process.env.ANTHROPIC_BASE_URL;

This duplicate process.env access points to endpoint configuration. It is security-relevant because the value controls where model traffic is sent.

Facteurs de risque

⚙️ Commandes externes (15)

index.ts:11 index.ts:48 index.ts:66-95 index.ts:95-107 index.ts:107-132 index.ts:132-135 index.ts:142-145 index.ts:145-147 index.ts:147-168 index.ts:168-179 SKILL.md:14-73 SKILL.md:73-77 SKILL.md:77-81 SKILL.md:81-87 SKILL.md:87-91

📁 Accès au système de fichiers (16)

index.ts:30 index.ts:45 index.ts:76 index.ts:87 index.ts:128 index.ts:144 index.ts:12 index.ts:29 index.ts:73 index.ts:81 index.ts:86 index.ts:45 index.ts:128 index.ts:144 index.ts:8 index.ts:8

🔑 Variables d’environnement (8)

index.ts:20 index.ts:21 index.ts:20 index.ts:21 index.ts:3 index.ts:18 index.ts:20 index.ts:35

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/wangdefou-dev-viral-verification/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/wangdefou-dev-viral-verification/security.svg)](https://skillstore.io/skills/wangdefou-dev-viral-verification?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/wangdefou-dev-viral-verification?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/wangdefou-dev-viral-verification/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/wangdefou-dev-viral-verification.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

wangdefou-dev. (2026). viral-verification security audit report (audit version 10) [Author version unspecified]. Skillstore. https://skillstore.io/skills/wangdefou-dev-viral-verification/audits/10

Citation BibTeX

@techreport{wangdefou-dev-wangdefou-dev-viral-verification-2026,
  author = {wangdefou-dev},
  title = {viral-verification security audit report (audit version 10)},
  institution = {Skillstore},
  year = {2026},
  number = {10},
  url = {https://skillstore.io/skills/wangdefou-dev-viral-verification/audits/10},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "viral-verification security audit report (audit version 10)"
version: "unspecified"
type: report
authors:
  - name: "wangdefou-dev"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/wangdefou-dev-viral-verification/audits/10"
identifiers:
  - type: other
    value: "skillstore:wangdefou-dev-viral-verification:audit:10"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Analyser des brouillons de threads

Notez un brouillon de thread et obtenez des modifications concrètes avant publication.

Améliorer les textes de campagne

Comparez des publications de campagne aux facteurs d’engagement et réécrivez les ouvertures faibles.

Vérifier par lots des publications Markdown

Traitez plusieurs brouillons Markdown et enregistrez les rapports d’analyse pour une modification ultérieure.

Essayez ces prompts

Noter un brouillon

Analyse cette publication sociale pour évaluer son potentiel viral. Note la curiosité, l’émotion, l’utilité, le timing, le rythme et la nouveauté. Donne ensuite trois améliorations claires.

Réécrire l’accroche

Analyse ce brouillon en te concentrant sur le titre et les trois premières lignes. Explique ce qui est faible, puis réécris uniquement la section d’accroche.

Créer un rapport complet

Crée un rapport de vérification virale pour cette publication. Inclus une grille de notation, les forces, les faiblesses, les changements de stratégie et une version finale réécrite.

Comparer plusieurs brouillons

Compare ces brouillons de publications en utilisant les facteurs de vérification virale. Classe-les, explique les compromis et fusionne les meilleures parties en une version finale.

Bonnes pratiques

Analysez uniquement les brouillons qui peuvent être envoyés sans risque à un fournisseur de modèle externe.
Utilisez le score comme guide éditorial, et non comme prévision de performance garantie.
Gardez le message original et l’audience clairement définis avant de demander une réécriture.

Éviter

Ne traitez pas de fichiers confidentiels avec le script automatisé.
Ne publiez pas de contenu réécrit sans relecture humaine.
N’optimisez pas l’engagement en ajoutant de fausses affirmations ou une urgence trompeuse.

Foire aux questions

Qu’évalue cette compétence ?

Elle évalue la curiosité, l’émotion, l’utilité, le timing, le rythme et la nouveauté dans le contenu social.

Peut-elle garantir une publication virale ?

Non. Elle fournit un jugement éditorial structuré, mais la réaction de l’audience ne peut pas être garantie.

Réécrit-elle la publication ?

Oui. Le prompt demande une version réécrite qui conserve l’idée principale et améliore les facteurs viraux.

Peut-elle traiter des fichiers automatiquement ?

Oui. Le script TypeScript inclus peut lire des brouillons Markdown et enregistrer des rapports de vérification.

Le script utilise-t-il une API externe ?

Oui. Il envoie le contenu des brouillons à un endpoint de modèle compatible avec Anthropic pour analyse.

Est-ce sûr pour les documents privés ?

Non. Les documents privés ou sensibles ne doivent pas être traités sauf si les contrôles de l’API et du stockage sont approuvés.

Détails du développeur

Auteur

wangdefou-dev

Licence

MIT

Révision Skillstore

Avis de version

L’auteur n’a déclaré aucune version.

Dépôt

https://github.com/wangdefou-dev/defou-workflow-agent/tree/main/skills/viral-verification

Réf

36e07d5e13068e5be64447e8f20b427cf2cbd21a

Récence de maintenance

18/07/2026

Utilisation

37 téléchargements · 237 vues

Structure de fichiers

📄 index.ts

📄 SKILL.md