스킬 impeccable

📦

impeccable

Name: impeccable
Author: pbakaus

v3.9.1 콘텐츠 리비전 r2 치명적 🔑 환경 변수⚙️ 외부 명령어🌐 네트워크 접근📁 파일 시스템 접근⚡ 스크립트 포함

독창적인 프론트엔드 인터페이스 구축

일반적인 AI 인터페이스는 반복적이고 미완성처럼 보입니다. Impeccable은 Claude, Codex, Claude Code에 세련된 프론트엔드 작업을 위한 구조화된 디자인 가이드를 제공합니다.

지원: Claude Codex Code(CC)

⚠️ 38 나쁨

Maintain this Skill? Claim it ⚠️ 38 나쁨

이 스킬은 팩에 포함되어 있습니다

작업에 필요한 모든 스킬을 명령 하나로 설치하려면 전체 팩을 설치하세요.

KeywayTech Coding Skills · 19 스킬 전체 팩 설치

이 Skill을 자동으로 설치하지 마세요.

공식 정책에 따라 설치 작업 전에 운영자 검토가 필요합니다.

내 에이전트로 설치

이 요청을 에이전트에 복사하세요. 공식 Skill 페이지와 매니페스트가 포함되어 있습니다.

에이전트 요청

Review the Skillstore skill "impeccable" from https://skillstore.io/skills/pbakaus-impeccable.md and its manifest at https://skillstore.io/api/skills/pbakaus-impeccable/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

에이전트는 계속해서 계획을 표시하고 보안 정책에서 요구하는 확인을 요청해야 합니다.

에이전트가 읽기 쉬운 리소스

AI 에이전트, 크롤러, 스크립트가 전체 페이지 대신 정리된 컨텍스트만 필요할 때 이 링크를 사용하세요.

Markdown 상세 GET /skills/pbakaus-impeccable.md 서명된 manifest GET /api/skills/pbakaus-impeccable/manifest 서명된 lockfile GET /api/skills/pbakaus-impeccable/lockfile

테스트해 보기

"impeccable" 사용 중입니다. 모바일 커머스 앱을 위한 결제 진행 인터페이스를 구축하세요.

예상 결과:

명확한 계층 구조, 접근 가능한 포커스 상태, 유용한 로딩 동작, 간결한 오류 문구를 갖춘 반응형 결제 단계 표시기입니다.

"impeccable" 사용 중입니다. 일반적이고 카드가 과도하게 많은 대시보드를 개선하세요.

예상 결과:

더 나은 간격, 타이포그래피, 줄어든 중복 카드, 더 명확한 데이터 우선순위, 반응형 레이아웃을 갖춘 정제된 대시보드 방향입니다.

"impeccable" 사용 중입니다. 반복되는 계정 설정 화면에서 재사용 가능한 패턴을 추출하세요.

예상 결과:

공유 form rows, action groups, status messages, spacing tokens, 문서 업데이트를 위한 마이그레이션 계획입니다.

보안 감사

치명적

v6 • 2026. 7. 23. 버전별 보고서 열기

Most static matches are lexical false positives from design prose, regular-expression calls, readable detector code, and a disclosed minified screenshot dependency. Confirmed risks include automatic network access, disabled browser sandboxing in CI, shell command injection through crafted paths, credential-bearing subprocesses, and a live server whose token and privileged agent workflows are exposed across origins. Static review was capped at 400/2770 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

스캔된 파일

50,713

분석된 줄 수

검토 항목

오탐 무시됨

확인된 보안 우려 사항 (7)

치명적

multiple:1

[HEURISTIC] DANGEROUS COMBINATION: Code execution + Network + Credential access

This combination is common in credential stealers and RATs

The skill launches network-capable AI CLIs with approval and sandbox bypass while forwarding credential-bearing environment variables, so this dangerous combination is real.

치명적

scripts/live-server.mjs:388-417 scripts/live-server.mjs:549-608

Live Server Exposes Its Bearer Token Across Origins

The loopback server enables wildcard CORS and serves live.js without authentication while embedding the bearer token. Any reachable origin can recover the token and call protected file-reading or source-edit orchestration endpoints.

The request handler explicitly sets Access-Control-Allow-Origin to *, and assembleLiveBrowserScript receives state.token before the unauthenticated response is served.

치명적

scripts/live-copy-edit-agent.mjs:33-84 scripts/live-copy-edit-agent.mjs:448-478

Browser-Controlled Data Reaches Permission-Bypassed AI Agents

Staged browser text and DOM evidence are embedded in an agent prompt. Codex and Claude then run with approval or permission bypass and inherit the full environment, enabling prompt injection with repository and credential impact.

The prompt serializes the staged batch, and the launch arguments explicitly use dangerously-bypass-approvals-and-sandbox or bypassPermissions while forwarding env.

높음

scripts/detector/engines/browser/detect-url.mjs:148

UID/GID manipulation

const launchArgs = process.env.CI ? ['--no-sandbox', '--disable-setuid-sandbox'] : [];

The detector disables Chrome sandbox and setuid-sandbox protections whenever CI is set, weakening isolation for pages processed in CI.

높음

scripts/detector/engines/browser/detect-url.mjs:251

UID/GID manipulation

const launchArgs = options.launchArgs || (process.env.CI ? ['--no-sandbox', '--disable-setuid-sandbo

The detector disables Chrome sandbox and setuid-sandbox protections whenever CI is set, weakening isolation for pages processed in CI.

높음

multiple:1

[HEURISTIC] SUSPICIOUS COMBINATION: Filesystem + Credentials + Network

This combination could indicate credential harvesting and exfiltration

The live copy workflow gives network-capable child agents repository access and forwards authentication variables, creating a genuine combined exposure even without malicious intent.

높음

scripts/live-server.mjs:599-611

Source Endpoint Uses a Prefix-Based Path Boundary Check

The source endpoint accepts absolute paths and checks containment with string startsWith. A sibling path sharing the project directory prefix can pass and expose files outside the project to a token holder.

path.resolve accepts an absolute input, and startsWith(process.cwd()) is not component-aware. The code does not reject absolute paths before reading.

기능 검토 항목 (10)

이 스킬에 대해 예상될 수 있는 실제 로컬 기능이므로 검토가 필요하지만, 확인된 악의적 동작으로는 집계되지 않습니다.

치명적

scripts/lib/is-generated.mjs:16

Node.js child_process module

import { execSync } from 'node:child_process';

This module is used by the file classifier to build a shell command from a path, and JSON string quoting does not neutralize shell substitutions inside double quotes.

치명적

scripts/live-copy-edit-agent.mjs:10

Node.js child_process module

import { spawn, spawnSync } from 'node:child_process';

This import supports Codex and Claude launches that explicitly bypass approvals or permissions and inherit the full environment.

치명적

scripts/live-copy-edit-agent.mjs:484

Process spawn

const child = spawn(command, args, {

The spawn starts Codex or Claude with permission bypass flags, repository access, inherited credentials, and browser-derived edit data.

치명적

scripts/lib/is-generated.mjs:44

Synchronous process execution

execSync(`git check-ignore --quiet ${JSON.stringify(absPath)}`, {

The interpolated path is placed in an execSync shell command; command substitutions in a crafted filename remain active despite JSON.stringify quoting.

높음

scripts/live-copy-edit-agent.mjs:474

Generic API/secret keys

// Forward env as-is so CLAUDE_CODE_OAUTH_TOKEN and ANTHROPIC_API_KEY flow

The Claude subprocess receives the entire parent environment specifically so OAuth tokens and API keys are available, exposing credentials to a permission-bypassed child process.

높음

scripts/live-server.mjs:72

Net server creation (opens port)

const srv = net.createServer();

The skill creates an HTTP service on a loopback port with file-reading and source-edit orchestration endpoints; the service is security-sensitive despite loopback binding.

높음

scripts/live-copy-edit-agent.mjs:253

Synchronous spawn

const validation = spawnSync(script, {

A package-defined validation script is executed with shell mode after live edits, allowing arbitrary project script commands to run under the skill process.

중간

reference/polish.md:40

Shell command substitution

slug=$(node .rovodev/skills/impeccable/scripts/critique-storage.mjs slug "<resolved>")

The documented shell command substitutes a resolved target inside double quotes, where crafted $() or backtick content could still execute if copied literally.

낮음

scripts/context.mjs:765

Fetch API call

const res = await fetch(`${UPDATE_HOST}/api/version`, { signal: AbortSignal.timeout(FETCH_TIMEOUT_MS

The mandatory context script performs an automatic outbound version request to the configured update host unless the update check is disabled.

낮음

scripts/context.mjs:52

Hardcoded URL

const UPDATE_HOST = (process.env.IMPECCABLE_UPDATE_HOST || 'https://impeccable.style').replace(/\/$/

The URL is the default external host used by the automatic version check, so it represents real outbound network behavior.

위험 요인

🔑 환경 변수 (50)

⚙️ 외부 명령어 (50)

🌐 네트워크 접근 (50)

📁 파일 시스템 접근 (50)

⚡ 스크립트 포함 (50)

감지된 패턴

[HEURISTIC] DANGEROUS COMBINATION: Code execution + Network + Credential accessUID/GID manipulation×2

감사자: codex 감사 이력 보기 →

이 보고서 공유 및 인용

버전이 지정된 평가 보고서, 중립 배지, 임베드 카드 및 인용을 공유하세요. Skillstore는 근거를 보고하지만 이 Skill의 안전 여부를 판단하지 않습니다.

버전별 보고서 열기

보고서 링크 복사

https://skillstore.io/skills/pbakaus-impeccable/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 배지

[![Skillstore security assessment](https://skillstore.io/badges/skills/pbakaus-impeccable/security.svg)](https://skillstore.io/skills/pbakaus-impeccable?utm_source=security_passport_badge)

HTML 배지

<a href="https://skillstore.io/skills/pbakaus-impeccable?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/pbakaus-impeccable/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

임베드 카드

<iframe src="https://skillstore.io/embed/skills/pbakaus-impeccable.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

학술 인용 (APA · BibTeX · CFF)

APA 인용

pbakaus. (2026). impeccable security audit report (audit version 6) [Author version 3.9.1]. Skillstore. https://skillstore.io/skills/pbakaus-impeccable/audits/6

BibTeX 인용

@techreport{pbakaus-pbakaus-impeccable-2026,
  author = {pbakaus},
  title = {impeccable security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/pbakaus-impeccable/audits/6},
  note = {Author version 3.9.1}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "impeccable security audit report (audit version 6)"
version: "3.9.1"
type: report
authors:
  - name: "pbakaus"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/pbakaus-impeccable/audits/6"
identifiers:
  - type: other
    value: "skillstore:pbakaus-impeccable:audit:6"
    description: "Skillstore immutable audit report identifier"

Skillstore 점수

이 점수의 이유 증거 신뢰도: 중간

아키텍처

100

유지보수성

콘텐츠

커뮤니티

사양 준수

만들 수 있는 것

새 제품 화면 디자인

레이아웃, 타이포그래피, 반응형 동작, 인터랙션 상태, 시각적 완성도를 갖춘 완전한 프론트엔드 화면을 만듭니다.

프로젝트 디자인 맥락 수집

인터페이스 작업을 생성하기 전에 대상 사용자, 브랜드, 접근성, 미적 방향에 대한 결정을 수집합니다.

재사용 가능한 UI 패턴 추출

반복되는 컴포넌트와 토큰을 식별한 다음 기존 디자인 시스템으로 마이그레이션할 계획을 세웁니다.

이 프롬프트를 사용해 보세요

디자인 맥락 수집

/impeccable teach

집중된 컴포넌트 제작

/impeccable craft 독립 컨설턴트를 위한 가격 비교 섹션을 구축하세요. 톤은 정확하고 자신감 있으며 따뜻하게 느껴져야 합니다.

기존 화면 재디자인

/impeccable craft 온보딩 체크리스트 화면을 재디자인하세요. 동일한 작업은 유지하되 계층 구조, 반응형 동작, 빈 상태, 접근성을 개선하세요.

디자인 시스템 패턴 추출

/impeccable extract 설정 영역을 검토하고 재사용 가능한 컴포넌트, 시맨틱 토큰, 명명 규칙, 안전한 마이그레이션 경로를 식별하세요.

모범 사례

craft 모드 전에 대상 사용자, 사용 사례, 브랜드 톤, 접근성 요구사항을 제공하세요.
브라우저에서 기본, 로딩, 빈 상태, 오류, 반응형 상태를 검증하세요.
로컬 파일 삭제를 허용하기 전에 모든 정리 작업을 검토하세요.

피하기

어떤 파일이 제거될 수 있는지 확인하지 않고 정리 스크립트를 실행하는 것.
대상 사용자, 톤, 제약 조건 없이 모던한 느낌을 요청하는 것.
시각 검토 없이 처음 생성된 결과를 최종본으로 취급하는 것.

자주 묻는 질문

Impeccable은 무엇을 돕나요?

더 강력한 레이아웃, 타이포그래피, 인터랙션 상태, 반응형 동작, UX 라이팅을 갖춘 독창적인 프론트엔드 인터페이스를 만드는 데 도움을 줍니다.

어떤 도구를 지원하나요?

보고서에는 Claude, Codex, Claude Code 지원이 나열되어 있습니다.

디자인 맥락이 필요한가요?

예. 이 스킬은 디자인 작업 전에 대상 사용자, 사용 사례, 브랜드 톤, 기타 맥락을 요청합니다.

파일을 업데이트할 수 있나요?

예. Teach 모드는 디자인 맥락을 작성할 수 있으며, 정리 스크립트는 로컬 스킬 폴더와 lock files를 수정할 수 있습니다.

시각적 QA를 대체하나요?

아니요. 구현 후 브라우저 검토, 상태 확인, 반응형 테스트를 명시적으로 요구합니다.

설치 전에 무엇을 검토해야 하나요?

사용 중단된 로컬 스킬 항목을 삭제하는 Node script를 실행할 수 있으므로 업데이트 후 정리 흐름을 검토하세요.

개발자 세부 정보

작성자

pbakaus

라이선스

Apache 2.0

작성자 버전

v3.9.1

Skillstore 리비전

리포지토리

https://github.com/pbakaus/impeccable/tree/main/.rovodev/skills/impeccable/

참조

ebdfe608f5de2b66ff37ab4af12af8ac4f5e8006

유지보수 최신성

2026. 7. 25.

사용량

40 다운로드 · 144 조회

파일 구조

📁 reference/

📄 adapt.md

📄 animate.md

📄 audit.md

📄 bolder.md

📄 brand.md

📄 clarify.md

📄 codex.md

📄 colorize.md

📄 craft.md

📄 critique.md

📄 delight.md

📄 distill.md

📄 document.md

📄 extract.md

📄 harden.md

📄 hooks.md

📄 init.md

📄 interaction-design.md

📄 layout.md

📄 live.md

📄 onboard.md

📄 optimize.md

📄 overdrive.md

📄 polish.md

📄 product.md

📄 quieter.md

📄 shape.md

📄 typeset.md

📁 scripts/

📄 command-metadata.json

📄 context-signals.mjs

📄 context.mjs

📄 critique-storage.mjs

📄 detect-csp.mjs

📄 detect.mjs

📁 detector/

📁 browser/

📁 injected/

📄 index.mjs

📁 cli/

📄 main.mjs

📄 design-system.mjs

📄 detect-antipatterns-browser.js

📄 detect-antipatterns.mjs

📁 engines/

📁 browser/

📄 detect-url.mjs

📁 regex/

📄 detect-text.mjs

📁 static-html/

📄 css-cascade.mjs

📄 detect-html.mjs

📁 visual/

📄 screenshot-contrast.mjs

📄 findings.mjs

📁 node/

📄 file-system.mjs

📁 profile/

📄 profiler.mjs

📁 registry/

📄 antipatterns.mjs

📁 rules/

📄 checks.mjs

📁 shared/

📄 color.mjs

📄 constants.mjs

📄 fonts.mjs

📄 inline-ignores.mjs

📄 page.mjs

📄 hook-admin.mjs

📄 hook-before-edit.mjs

📄 hook-lib.mjs

📄 hook.mjs

📁 lib/

📄 design-parser.mjs

📄 impeccable-config.mjs

📄 impeccable-paths.mjs

📄 is-generated.mjs

📄 target-args.mjs

📁 live/

📄 browser-script-parts.mjs

📄 completion.mjs

📄 event-validation.mjs

📄 insert-ui.mjs

📄 manual-apply.mjs

📄 manual-edit-routes.mjs

📄 manual-edits-buffer.mjs

📄 session-store.mjs

📄 svelte-component.mjs

📄 sveltekit-adapter.mjs

📄 ui-core.mjs

📄 vocabulary.mjs

📄 live-accept.mjs

📄 live-browser-dom.js

📄 live-browser-session.js

📄 live-browser.js

📄 live-commit-manual-edits.mjs

📄 live-complete.mjs

📄 live-copy-edit-agent.mjs

📄 live-discard-manual-edits.mjs

📄 live-inject.mjs

📄 live-insert.mjs

📄 live-manual-edit-evidence.mjs

📄 live-poll.mjs

📄 live-resume.mjs

📄 live-server.mjs

📄 live-status.mjs

📄 live-target.mjs

📄 live-wrap.mjs

📄 live.mjs

📄 modern-screenshot.umd.js

📄 palette.mjs

📄 pin.mjs

📄 SKILL.md