スキル nano-image-generator

📦

nano-image-generator

Name: nano-image-generator
Author: lxfater

コンテンツリビジョン r1 高リスク 🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚙️ 外部コマンド

Gemini 画像アセットを作成

チームには、コーディングワークフローを離れずにすばやく使えるビジュアルアセットが必要です。このスキルはローカルの Python スクリプトを使用して Gemini で画像を生成し、プロジェクトフォルダーに保存します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "nano-image-generator" from https://skillstore.io/skills/lxfater-nano-image-generator.md and its manifest at https://skillstore.io/api/skills/lxfater-nano-image-generator/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/lxfater-nano-image-generator.md 署名済み manifest GET /api/skills/lxfater-nano-image-generator/manifest 署名済み lockfile GET /api/skills/lxfater-nano-image-generator/lockfile

テストする

「nano-image-generator」を使用しています。シンプルな雲と太陽のシンボルを使って、天気アプリ用の正方形のアプリアイコンを作成してください。

期待される結果:

選択した出力フォルダーを使用した、アプリアイコンのドラフトに適した保存済みの正方形画像ファイル。

「nano-image-generator」を使用しています。クリーンなエディトリアルスタイルで、開発者ツール向けの横長ローンチバナーを作成してください。

期待される結果:

スクリプト完了後に生成されたファイルパスが返される横長バナー画像。

「nano-image-generator」を使用しています。このキャラクター参照を使用し、同じキャラクターを温かみのあるカフェシーンに配置してください。

期待される結果:

参照されたキャラクターの外見を別の設定で維持しようとする新しい画像。

セキュリティ監査

高リスク

v7 • 2026/7/5 バージョン別レポートを開く

The skill provides a legitimate Gemini-backed image generation workflow, but it has meaningful security concerns. The main confirmed issues are hardcoded API key setup, external transfer of prompts and reference images, local Python command execution, and unrestricted output-path writes. Documentation-only URLs, Markdown formatting, magic-byte checks, and response image base64 decoding were adjudicated as false positives.

スキャンされたファイル

685

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (3)

高

README.md:27-47 README_CN.md:27-47 scripts/generate_image.py:37-45

Hardcoded API Key Setup Workflow

The README files and Python script instruct users to replace a source-code placeholder with a real Gemini API key. This creates a high chance of committing or sharing a live credential.

The documentation explicitly says to replace the placeholder with an actual API key, and the script returns that literal value. This is direct evidence of unsafe credential storage by design.

中

scripts/generate_image.py:119-125 scripts/generate_image.py:143-147

Reference Images Sent to External API

The script reads each reference image, base64-encodes it, includes it in the request payload, and posts it to the Gemini API. Users may expose private images if they provide sensitive local files.

The code appends reference image bytes as inlineData and then sends the payload through urllib.request.urlopen. This is expected functionality, but it is a clear external data transfer.

中

scripts/generate_image.py:254-268

Unrestricted Output Path Write

The output path is provided by the caller, parent directories are created automatically, and image bytes are written to that path. A mistaken or manipulated path could overwrite files the process can access.

The script directly converts args.output into a Path, creates parent directories, and writes bytes. The forced image extension limits some abuse, but path scope is otherwise unrestricted.

機能レビュー項目 (30)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

README_CN.md:29

Generic API/secret keys

编辑 `scripts/generate_image.py`,找到 `get_api_key()` 函数(约第 37 行):

The setup instructions direct users to edit the script function that returns the API key. This encourages storing a live credential in source code.

高

README_CN.md:32

Generic API/secret keys

def get_api_key():

The documented get_api_key function is the credential storage location. The surrounding setup text tells users to replace a placeholder with a real key.

高

README_CN.md:40

Generic API/secret keys

return "YOUR_GEMINI_API_KEY_HERE" # <-- Replace this with your API key

The snippet returns an API key placeholder from source code. Replacing it with a real key would hardcode a secret in the repository.

高

README_CN.md:43

Generic API/secret keys

将 `YOUR_GEMINI_API_KEY_HERE` 替换为你的实际 API key:

The documentation explicitly tells users to replace the placeholder with an actual API key. This is insecure credential handling.

高

README.md:29

Generic API/secret keys

Edit `scripts/generate_image.py`, find the `get_api_key()` function (around line 37):

The setup instructions direct users to edit the script function that returns the API key. This encourages storing a live credential in source code.

高

README.md:32

Generic API/secret keys

def get_api_key():

The documented get_api_key function is the credential storage location. The surrounding setup text tells users to replace a placeholder with a real key.

高

README.md:40

Generic API/secret keys

return "YOUR_GEMINI_API_KEY_HERE" # <-- Replace this with your API key

The snippet returns an API key placeholder from source code. Replacing it with a real key would hardcode a secret in the repository.

高

README.md:43

Generic API/secret keys

Replace `YOUR_GEMINI_API_KEY_HERE` with your actual API key:

The documentation explicitly tells users to replace the placeholder with an actual API key. This is insecure credential handling.

高

scripts/generate_image.py:5

Generic API/secret keys

Requires: Set your GEMINI_API_KEY in the get_api_key() function below.

The file-level instructions require placing the Gemini API key into the function below. This promotes hardcoded credential storage.

高

scripts/generate_image.py:37

Generic API/secret keys

def get_api_key():

The get_api_key function is used as the credential source for requests. Its implementation returns a literal string from the source file.

高

scripts/generate_image.py:45

Generic API/secret keys

return "YOUR_GEMINI_API_KEY_HERE" # <-- Replace this with your API key

The function returns a placeholder meant to be replaced by a real API key. Hardcoding a real secret here risks accidental disclosure.

高

scripts/generate_image.py:101

Generic API/secret keys

api_key = get_api_key()

The script retrieves the API key from the hardcoded function before making the request. This ties runtime authentication to source-stored credentials.

高

scripts/generate_image.py:103

Generic API/secret keys

if api_key == "YOUR_GEMINI_API_KEY_HERE":

The placeholder comparison confirms the expected setup is replacing a source-code literal with a real key. That setup pattern is insecure.

高

scripts/generate_image.py:105

Generic API/secret keys

print("Edit the get_api_key() function and replace YOUR_GEMINI_API_KEY_HERE", file=sys.stderr)

The error message instructs users to replace the placeholder in source code. This reinforces unsafe credential handling.

高

scripts/generate_image.py:108

Generic API/secret keys

url = f"{API_BASE}/{MODEL_ID}:generateContent?key={api_key}"

The API key is placed in the request URL query string. Query-string credentials can leak through logs, traces, or error reports.

中

scripts/generate_image.py:144

Python HTTP libraries

req = urllib.request.Request(url, data=data, headers=headers, method="POST")

The script creates a POST request containing the prompt and any encoded reference images. This sends user-provided content to an external API.

中

scripts/generate_image.py:147

Python HTTP libraries

with urllib.request.urlopen(req, timeout=180) as response:

The urlopen call performs the external request to Gemini. Network transfer is core behavior and should be disclosed to users.

中

SKILL.md:12-18

Ruby/shell backtick execution

```bash

This fenced block instructs users or agents to run the local Python generator script. External command execution is expected but it can make network requests and write files.

中

SKILL.md:22-24

Ruby/shell backtick execution

```bash

This fenced usage block shows direct execution of scripts/generate_image.py. The command is intentional but still invokes local code with user-controlled arguments.

中

SKILL.md:44-47

Ruby/shell backtick execution

```bash

This fenced example runs the Python script with a reference image and output path. It invokes local code that may read files and send data to the API.

中

SKILL.md:51-54

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator with a reference image. The command is intentional but confirms external command use.

中

SKILL.md:58-61

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator with multiple reference images. That can read local images and send them to the API.

中

SKILL.md:69-76

Ruby/shell backtick execution

```bash

This fenced workflow block contains several invocations of the Python generator. It confirms intended local command execution for batch image generation.

中

SKILL.md:102-105

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator to create an app icon. It is legitimate usage but confirms command execution by the skill workflow.

中

SKILL.md:108-111

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator to create a banner. It invokes local script execution with an output path.

中

SKILL.md:114-117

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator for a knowledge card. It is an intended external command invocation.

中

SKILL.md:120-123

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator with a reference image for style transfer. It can read the referenced file and send it externally.

中

SKILL.md:126-129

Ruby/shell backtick execution

```bash

This fenced example runs the Python generator with a character reference image. It confirms intended command execution and external processing of local files.

低

scripts/generate_image.py:23

Python HTTP libraries

import urllib.request

The imported urllib.request module is used later to call the Gemini API. This is expected for the feature but confirms external network capability.

低

scripts/generate_image.py:34

Hardcoded URL

API_BASE = "https://generativelanguage.googleapis.com/v1beta/models"

The hardcoded endpoint targets the Google Generative Language API. It is legitimate for the skill, but it is still a fixed third-party destination.

リスク要因

🌐 ネットワークアクセス (9)

README_CN.md:38 README_CN.md:54 README.md:38 README.md:54 scripts/generate_image.py:23 scripts/generate_image.py:144 scripts/generate_image.py:147 scripts/generate_image.py:34 scripts/generate_image.py:43

📁 ファイルシステムへのアクセス (4)

README_CN.md:57 README_CN.md:57 README.md:57 README.md:57

🔑 環境変数 (15)

README_CN.md:29 README_CN.md:32 README_CN.md:40 README_CN.md:43 README.md:29 README.md:32 README.md:40 README.md:43 scripts/generate_image.py:5 scripts/generate_image.py:37 scripts/generate_image.py:45 scripts/generate_image.py:101 scripts/generate_image.py:103 scripts/generate_image.py:105 scripts/generate_image.py:108

⚙️ 外部コマンド (39)

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/lxfater-nano-image-generator/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/lxfater-nano-image-generator/security.svg)](https://skillstore.io/skills/lxfater-nano-image-generator?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/lxfater-nano-image-generator?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/lxfater-nano-image-generator/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/lxfater-nano-image-generator.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

lxfater. (2026). nano-image-generator security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/lxfater-nano-image-generator/audits/7

BibTeX形式の引用

@techreport{lxfater-lxfater-nano-image-generator-2026,
  author = {lxfater},
  title = {nano-image-generator security audit report (audit version 7)},
  institution = {Skillstore},
  year = {2026},
  number = {7},
  url = {https://skillstore.io/skills/lxfater-nano-image-generator/audits/7},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "nano-image-generator security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
  - name: "lxfater"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/lxfater-nano-image-generator/audits/7"
identifiers:
  - type: other
    value: "skillstore:lxfater-nano-image-generator:audit:7"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

製品グラフィックを生成

プロジェクトのプロンプトから直接、アプリアイコン、UI アセット、機能イラストを作成します。

キャンペーン画像を制作

選択したアスペクト比とサイズで、バナー、ソーシャル画像、ローンチ用ビジュアルを作成します。

ビジュアルの一貫性を維持

参照画像を使用して、一連のアセット全体で一貫したスタイルやキャラクターを保ちます。

これらのプロンプトを試す

基本画像

親しみやすいロボットのマスコットが手を振っている画像を、クリーンでモダンなスタイルで生成し、generated フォルダーに保存してください。

サイズ指定バナー

抽象的な幾何学模様と落ち着いたプロフェッショナルなカラーパレットを使って、生産性向上アプリ向けの 16:9 のウェブサイトヒーローバナーを作成してください。

参照スタイル

参照画像をビジュアルスタイルとして使用し、色、照明、質感が一致する新しい山のシーンを生成してください。

一貫したシリーズ

一貫したレイアウト、揃ったタイポグラフィスペース、明確なビジュアルテーマを持つ 3 枚のナレッジカードシリーズを生成してください。

ベストプラクティス

被写体、スタイル、色、構図、用途を含む具体的なプロンプトを使用します。
生成されたアセットは、その目的に合ったプロジェクトフォルダーに保存します。
外部 API に送信する前に参照画像を確認します。

回避

実際の API キーをソース管理にコミットされるファイルへハードコードしないでください。
外部処理が許容されない限り、非公開の参照画像を送信しないでください。
正確なテキスト、商標、または最終的なブランド承認に生成画像を依存しないでください。

よくある質問

このスキルはどのモデルを使用しますか?

Gemini 3 Pro Preview の画像生成向けに設計されており、このスキルでは Nano Banana Pro と説明されています。

参照画像に対応していますか?

はい。スクリプトは、スタイル転送やキャラクターの一貫性のために最大 14 枚の参照画像を受け付けます。

生成された画像はどこに保存されますか?

ユーザーが出力パスを指定し、スクリプトは返された画像を検出された拡張子付きでそこに保存します。

ネットワークアクセスは必要ですか?

はい。画像を生成するために Google Generative Language API にリクエストを送信します。

API キーはどのように設定しますか?

現在のスクリプトでは、Gemini API キーをソースファイル内に配置するようユーザーに求めます。

画像内に正確なテキストを作成できますか?

このスキルではテキストレンダリングが不完全な場合があると記載されているため、最終アセットではテキストオーバーレイの方が適しています。

開発者情報

作成者

lxfater

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/lxfater/nano-image-generator-skill/tree/main/

参照

62e2a730c5cd74eab4c7164309d810de660fcea3

メンテナンスの新しさ

2026/7/20

利用状況

62 ダウンロード · 273 閲覧

ファイル構成

📁 scripts/

📄 generate_image.py

📄 README_CN.md

📄 README.md

📄 SKILL.md