スキル impeccable

📦

impeccable

Name: impeccable
Author: pbakaus

v3.9.1 コンテンツリビジョン r2 重大 🔑 環境変数⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス⚡ スクリプトを含む

独自性のあるフロントエンドインターフェイスを構築

汎用的なAIインターフェイスは、どれも似通っていて未完成に見えます。Impeccableは、Claude、Codex、Claude Codeに、洗練されたフロントエンド作業のための構造化されたデザインガイダンスを提供します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

Maintain this Skill? Claim it ⚠️ 38 不十分

このスキルはパックに含まれています

タスクに必要なすべてのスキルを、パックごと 1 コマンドでインストールできます。

KeywayTech Coding Skills · 19 スキルパック全体をインストール

この Skill を自動インストールしないでください。

基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "impeccable" from https://skillstore.io/skills/pbakaus-impeccable.md and its manifest at https://skillstore.io/api/skills/pbakaus-impeccable/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/pbakaus-impeccable.md 署名済み manifest GET /api/skills/pbakaus-impeccable/manifest 署名済み lockfile GET /api/skills/pbakaus-impeccable/lockfile

テストする

「impeccable」を使用しています。モバイルコマースアプリ向けのチェックアウト進行状況インターフェイスを作成してください。

期待される結果:

明確な階層、アクセシブルなフォーカス状態、有用な読み込み動作、簡潔なエラーコピーを備えたレスポンシブなチェックアウトステッパー。

「impeccable」を使用しています。汎用的でカードが多すぎる印象のダッシュボードを改善してください。

期待される結果:

より強いスペーシング、タイポグラフィ、少ない冗長カード、明確なデータ優先順位、レスポンシブレイアウトを備えた洗練されたダッシュボードの方向性。

「impeccable」を使用しています。繰り返し使われているアカウント設定画面から再利用可能なパターンを抽出してください。

期待される結果:

共有フォーム行、アクショングループ、ステータスメッセージ、スペーシングトークン、ドキュメント更新のための移行計画。

セキュリティ監査

重大

v6 • 2026/7/23 バージョン別レポートを開く

Most static matches are lexical false positives from design prose, regular-expression calls, readable detector code, and a disclosed minified screenshot dependency. Confirmed risks include automatic network access, disabled browser sandboxing in CI, shell command injection through crafted paths, credential-bearing subprocesses, and a live server whose token and privileged agent workflows are exposed across origins. Static review was capped at 400/2770 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

スキャンされたファイル

50,713

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (7)

重大

multiple:1

[HEURISTIC] DANGEROUS COMBINATION: Code execution + Network + Credential access

This combination is common in credential stealers and RATs

The skill launches network-capable AI CLIs with approval and sandbox bypass while forwarding credential-bearing environment variables, so this dangerous combination is real.

重大

scripts/live-server.mjs:388-417 scripts/live-server.mjs:549-608

Live Server Exposes Its Bearer Token Across Origins

The loopback server enables wildcard CORS and serves live.js without authentication while embedding the bearer token. Any reachable origin can recover the token and call protected file-reading or source-edit orchestration endpoints.

The request handler explicitly sets Access-Control-Allow-Origin to *, and assembleLiveBrowserScript receives state.token before the unauthenticated response is served.

重大

scripts/live-copy-edit-agent.mjs:33-84 scripts/live-copy-edit-agent.mjs:448-478

Browser-Controlled Data Reaches Permission-Bypassed AI Agents

Staged browser text and DOM evidence are embedded in an agent prompt. Codex and Claude then run with approval or permission bypass and inherit the full environment, enabling prompt injection with repository and credential impact.

The prompt serializes the staged batch, and the launch arguments explicitly use dangerously-bypass-approvals-and-sandbox or bypassPermissions while forwarding env.

高

scripts/detector/engines/browser/detect-url.mjs:148

UID/GID manipulation

const launchArgs = process.env.CI ? ['--no-sandbox', '--disable-setuid-sandbox'] : [];

The detector disables Chrome sandbox and setuid-sandbox protections whenever CI is set, weakening isolation for pages processed in CI.

高

scripts/detector/engines/browser/detect-url.mjs:251

UID/GID manipulation

const launchArgs = options.launchArgs || (process.env.CI ? ['--no-sandbox', '--disable-setuid-sandbo

The detector disables Chrome sandbox and setuid-sandbox protections whenever CI is set, weakening isolation for pages processed in CI.

高

multiple:1

[HEURISTIC] SUSPICIOUS COMBINATION: Filesystem + Credentials + Network

This combination could indicate credential harvesting and exfiltration

The live copy workflow gives network-capable child agents repository access and forwards authentication variables, creating a genuine combined exposure even without malicious intent.

高

scripts/live-server.mjs:599-611

Source Endpoint Uses a Prefix-Based Path Boundary Check

The source endpoint accepts absolute paths and checks containment with string startsWith. A sibling path sharing the project directory prefix can pass and expose files outside the project to a token holder.

path.resolve accepts an absolute input, and startsWith(process.cwd()) is not component-aware. The code does not reject absolute paths before reading.

機能レビュー項目 (10)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

重大

scripts/lib/is-generated.mjs:16

Node.js child_process module

import { execSync } from 'node:child_process';

This module is used by the file classifier to build a shell command from a path, and JSON string quoting does not neutralize shell substitutions inside double quotes.

重大

scripts/live-copy-edit-agent.mjs:10

Node.js child_process module

import { spawn, spawnSync } from 'node:child_process';

This import supports Codex and Claude launches that explicitly bypass approvals or permissions and inherit the full environment.

重大

scripts/live-copy-edit-agent.mjs:484

Process spawn

const child = spawn(command, args, {

The spawn starts Codex or Claude with permission bypass flags, repository access, inherited credentials, and browser-derived edit data.

重大

scripts/lib/is-generated.mjs:44

Synchronous process execution

execSync(`git check-ignore --quiet ${JSON.stringify(absPath)}`, {

The interpolated path is placed in an execSync shell command; command substitutions in a crafted filename remain active despite JSON.stringify quoting.

高

scripts/live-copy-edit-agent.mjs:474

Generic API/secret keys

// Forward env as-is so CLAUDE_CODE_OAUTH_TOKEN and ANTHROPIC_API_KEY flow

The Claude subprocess receives the entire parent environment specifically so OAuth tokens and API keys are available, exposing credentials to a permission-bypassed child process.

高

scripts/live-server.mjs:72

Net server creation (opens port)

const srv = net.createServer();

The skill creates an HTTP service on a loopback port with file-reading and source-edit orchestration endpoints; the service is security-sensitive despite loopback binding.

高

scripts/live-copy-edit-agent.mjs:253

Synchronous spawn

const validation = spawnSync(script, {

A package-defined validation script is executed with shell mode after live edits, allowing arbitrary project script commands to run under the skill process.

中

reference/polish.md:40

Shell command substitution

slug=$(node .rovodev/skills/impeccable/scripts/critique-storage.mjs slug "<resolved>")

The documented shell command substitutes a resolved target inside double quotes, where crafted $() or backtick content could still execute if copied literally.

低

scripts/context.mjs:765

Fetch API call

const res = await fetch(`${UPDATE_HOST}/api/version`, { signal: AbortSignal.timeout(FETCH_TIMEOUT_MS

The mandatory context script performs an automatic outbound version request to the configured update host unless the update check is disabled.

低

scripts/context.mjs:52

Hardcoded URL

const UPDATE_HOST = (process.env.IMPECCABLE_UPDATE_HOST || 'https://impeccable.style').replace(/\/$/

The URL is the default external host used by the automatic version check, so it represents real outbound network behavior.

リスク要因

🔑 環境変数 (50)

⚙️ 外部コマンド (50)

🌐 ネットワークアクセス (50)

📁 ファイルシステムへのアクセス (50)

⚡ スクリプトを含む (50)

検出されたパターン

[HEURISTIC] DANGEROUS COMBINATION: Code execution + Network + Credential accessUID/GID manipulation×2

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/pbakaus-impeccable/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/pbakaus-impeccable/security.svg)](https://skillstore.io/skills/pbakaus-impeccable?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/pbakaus-impeccable?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/pbakaus-impeccable/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/pbakaus-impeccable.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

pbakaus. (2026). impeccable security audit report (audit version 6) [Author version 3.9.1]. Skillstore. https://skillstore.io/skills/pbakaus-impeccable/audits/6

BibTeX形式の引用

@techreport{pbakaus-pbakaus-impeccable-2026,
  author = {pbakaus},
  title = {impeccable security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/pbakaus-impeccable/audits/6},
  note = {Author version 3.9.1}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "impeccable security audit report (audit version 6)"
version: "3.9.1"
type: report
authors:
  - name: "pbakaus"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/pbakaus-impeccable/audits/6"
identifiers:
  - type: other
    value: "skillstore:pbakaus-impeccable:audit:6"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

新しいプロダクト画面をデザインする

レイアウト、タイポグラフィ、レスポンシブ動作、インタラクション状態、ビジュアルの洗練を備えた完全なフロントエンド画面を作成します。

プロジェクトのデザインコンテキストを把握する

インターフェイス作業を生成する前に、対象ユーザー、ブランド、アクセシビリティ、美的判断を収集します。

再利用可能なUIパターンを抽出する

繰り返し使われるコンポーネントとトークンを特定し、それらを既存のデザインシステムへ移行する計画を立てます。

これらのプロンプトを試す

デザインコンテキストを収集する

/impeccable teach

焦点を絞ったコンポーネントを作成する

/impeccable craft 独立コンサルタント向けの料金比較セクションを作成してください。トーンは精密で、自信があり、温かみのある印象にしてください。

既存画面を再デザインする

/impeccable craft オンボーディングチェックリスト画面を再デザインしてください。同じアクションは維持しつつ、階層、レスポンシブ動作、空状態、アクセシビリティを改善してください。

デザインシステムパターンを抽出する

/impeccable extract 設定エリアをレビューし、再利用可能なコンポーネント、セマンティックトークン、命名規則、安全な移行パスを特定してください。

ベストプラクティス

craftモードの前に、対象ユーザー、ユースケース、ブランドトーン、アクセシビリティ要件を提供します。
ブラウザで、主要状態、読み込み状態、空状態、エラー状態、レスポンシブ状態を確認します。
ローカルファイルの削除を許可する前に、クリーンアップ操作を必ず確認します。

回避

削除される可能性のあるファイルを確認せずにクリーンアップスクリプトを実行すること。
対象ユーザー、トーン、制約なしにモダンな見た目を依頼すること。
ビジュアルレビューなしに、最初に生成された案を最終版として扱うこと。

よくある質問

Impeccableは何を支援しますか？

より優れたレイアウト、タイポグラフィ、インタラクション状態、レスポンシブ動作、UXライティングを備えた、独自性のあるフロントエンドインターフェイスの作成を支援します。

どのツールをサポートしていますか？

レポートには、Claude、Codex、Claude Codeのサポートが記載されています。

デザインコンテキストは必要ですか？

はい。このスキルは、デザイン作業の前に対象ユーザー、ユースケース、ブランドトーン、その他のコンテキストを求めます。

ファイルを更新できますか？

はい。teachモードではデザインコンテキストを書き込むことができ、クリーンアップスクリプトはローカルのスキルフォルダとロックファイルを変更する場合があります。

ビジュアルQAを代替しますか？

いいえ。実装後にブラウザレビュー、状態チェック、レスポンシブテストを行うことを明示的に想定しています。

インストール前に何を確認すべきですか？

非推奨のローカルスキルエントリを削除するNodeスクリプトが実行される可能性があるため、更新後のクリーンアップフローを確認してください。

開発者情報

作成者

pbakaus

ライセンス

Apache 2.0

作者バージョン

v3.9.1

Skillstore リビジョン

リポジトリ

https://github.com/pbakaus/impeccable/tree/main/.rovodev/skills/impeccable/

参照

ebdfe608f5de2b66ff37ab4af12af8ac4f5e8006

メンテナンスの新しさ

2026/7/25

利用状況

40 ダウンロード · 144 閲覧

ファイル構成

📁 reference/

📄 adapt.md

📄 animate.md

📄 audit.md

📄 bolder.md

📄 brand.md

📄 clarify.md

📄 codex.md

📄 colorize.md

📄 craft.md

📄 critique.md

📄 delight.md

📄 distill.md

📄 document.md

📄 extract.md

📄 harden.md

📄 hooks.md

📄 init.md

📄 interaction-design.md

📄 layout.md

📄 live.md

📄 onboard.md

📄 optimize.md

📄 overdrive.md

📄 polish.md

📄 product.md

📄 quieter.md

📄 shape.md

📄 typeset.md

📁 scripts/

📄 command-metadata.json

📄 context-signals.mjs

📄 context.mjs

📄 critique-storage.mjs

📄 detect-csp.mjs

📄 detect.mjs

📁 detector/

📁 browser/

📁 injected/

📄 index.mjs

📁 cli/

📄 main.mjs

📄 design-system.mjs

📄 detect-antipatterns-browser.js

📄 detect-antipatterns.mjs

📁 engines/

📁 browser/

📄 detect-url.mjs

📁 regex/

📄 detect-text.mjs

📁 static-html/

📄 css-cascade.mjs

📄 detect-html.mjs

📁 visual/

📄 screenshot-contrast.mjs

📄 findings.mjs

📁 node/

📄 file-system.mjs

📁 profile/

📄 profiler.mjs

📁 registry/

📄 antipatterns.mjs

📁 rules/

📄 checks.mjs

📁 shared/

📄 color.mjs

📄 constants.mjs

📄 fonts.mjs

📄 inline-ignores.mjs

📄 page.mjs

📄 hook-admin.mjs

📄 hook-before-edit.mjs

📄 hook-lib.mjs

📄 hook.mjs

📁 lib/

📄 design-parser.mjs

📄 impeccable-config.mjs

📄 impeccable-paths.mjs

📄 is-generated.mjs

📄 target-args.mjs

📁 live/

📄 browser-script-parts.mjs

📄 completion.mjs

📄 event-validation.mjs

📄 insert-ui.mjs

📄 manual-apply.mjs

📄 manual-edit-routes.mjs

📄 manual-edits-buffer.mjs

📄 session-store.mjs

📄 svelte-component.mjs

📄 sveltekit-adapter.mjs

📄 ui-core.mjs

📄 vocabulary.mjs

📄 live-accept.mjs

📄 live-browser-dom.js

📄 live-browser-session.js

📄 live-browser.js

📄 live-commit-manual-edits.mjs

📄 live-complete.mjs

📄 live-copy-edit-agent.mjs

📄 live-discard-manual-edits.mjs

📄 live-inject.mjs

📄 live-insert.mjs

📄 live-manual-edit-evidence.mjs

📄 live-poll.mjs

📄 live-resume.mjs

📄 live-server.mjs

📄 live-status.mjs

📄 live-target.mjs

📄 live-wrap.mjs

📄 live.mjs

📄 modern-screenshot.umd.js

📄 palette.mjs

📄 pin.mjs

Check designs with deterministic CSS rules

作成者 cubha

Design reviews can vary between reviewers and slow down delivery. This skill applies repeatable checks to HTML and CSS so teams can catch token, layout, and accessibility issues before release.

デザイン＆クリエイティブ表示

impeccable

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (7)

リスク要因

検出されたパターン

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

新しいプロダクト画面をデザインする

プロジェクトのデザインコンテキストを把握する

再利用可能なUIパターンを抽出する

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

pbakaus のその他のスキル

shape

teach-impeccable

delight

onboard

extract

layout

関連スキル

ux-designer

ui-ux-designer

ui-styling

web-accessibility

design-system

design-lint