Habilidades discover-skills

📦

discover-skills

Name: discover-skills
Author: zhiyuzi

Revisão do conteúdo r1 Risco alto 🌐 Acesso à rede⚙️ Comandos externos📁 Acesso ao sistema de arquivos

Encontrar Skills de IA Relevantes para uma Tarefa

Escolher a skill de IA certa pode ser lento quando as skills integradas não se encaixam. Esta skill consulta o SkillRadar e retorna uma lista curta e focada para Claude, Codex e Claude Code.

Suporta: Claude Codex Code(CC)

⚠️ 38 Ruim

Pare e solicite confirmação antes de instalar.

Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "discover-skills" from https://skillstore.io/skills/zhiyuzi-discover-skills.md and its manifest at https://skillstore.io/api/skills/zhiyuzi-discover-skills/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/zhiyuzi-discover-skills.md manifest assinado GET /api/skills/zhiyuzi-discover-skills/manifest lockfile assinado GET /api/skills/zhiyuzi-discover-skills/lockfile

Testar

Usando "discover-skills". Encontre uma skill que possa mesclar vários arquivos PDF e lidar com processamento em lote.

Resultado esperado:

O resultado é uma lista curta ranqueada de skills relacionadas a PDF.
Cada candidata inclui uma breve descrição, motivos de correspondência e um link de instalação.
A resposta observa que o usuário deve revisar o pacote antes da instalação.

Usando "discover-skills". Encontre skills para transformar anotações de pesquisa em um relatório estruturado.

Resultado esperado:

O resultado lista skills de escrita e documentação que correspondem à geração de relatórios.
As candidatas mais fortes são explicadas com motivos de correspondência concisos.
A resposta pede mais detalhes se a meta da tarefa for ampla demais.

Usando "discover-skills". Encontre uma skill de limpeza de dados somente local para arquivos CSV.

Resultado esperado:

A resposta pesquisa com restrições de somente local e CSV.
Ela avisa quando as candidatas retornadas não atendem claramente ao requisito de somente local.

Auditoria de segurança

Risco alto

v4 • 08/07/2026 Abrir o relatório versionado

The review confirms real network use, local script execution, hidden skill directory installation guidance, and a remote ZIP installation workflow. Many Markdown backtick and entropy findings are false positives, but the remaining issues create privacy and supply-chain risk. No prompt injection attempt was found in the reviewed files.

Arquivos analisados

254

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (2)

Alto

SKILL.md:93-106

Remote Skill Installation From Unverified ZIP

The skill directs agents to download install_url ZIP packages and extract them into skill directories. No checksum, signature, allowlist, or package review step is required before installation.

Lines 93-106 describe downloading a remote skill.zip, extracting it into agent skill directories, and deleting the archive. The absence of integrity verification makes this a clear supply-chain risk.

Médio

scripts/discover.py:24-45 SKILL.md:12-14

Task Details Sent to Third-Party Discovery Service

The script sends the task goal, constraints, and keywords to the SkillRadar API. These fields may include sensitive project or user context unless the agent asks for consent first.

The payload is built from user task fields and posted to https://api.skillradar.quest. The behavior is intentional, but the skill text does not require explicit privacy disclosure before sending data.

Itens de revisão de capacidade (14)

Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.

Alto

SKILL.md:100

Hidden file in home directory

- **Claude Code**:项目级 `.claude/skills/`,全局 `~/.claude/skills/`

The skill documents installing into ~/.claude/skills for global Claude Code use. Writing community skill files under hidden home directories can persist behavior across projects.

Alto

SKILL.md:101

Hidden file in home directory

- **OpenCode**:项目级 `.opencode/skills/`,全局 `~/.config/opencode/skills/`

The skill documents installing into ~/.config/opencode/skills. Global hidden configuration directories are persistent and can affect future agent sessions.

Alto

SKILL.md:102

Hidden file in home directory

- **Codex CLI**:项目级 `.codex/skills/`,全局 `~/.codex/skills/`

The skill documents installing into ~/.codex/skills. This is a hidden global skill directory with persistent agent behavior implications.

Alto

SKILL.md:103

Hidden file in home directory

- **Gemini CLI**:项目级 `.gemini/skills/`,全局 `~/.gemini/skills/`

The skill documents installing into ~/.gemini/skills. Hidden global installs can persist and influence later workflows beyond the current task.

Médio

SKILL.md:13

Ruby/shell backtick execution

2. 调用 `scripts/discover.py` 脚本,向 SkillRadar 服务查询符合条件的技能。

The skill instructs the agent to run the bundled discover.py script. Executing local scripts is a real external command risk, especially for community skills.

Médio

SKILL.md:53-56

Ruby/shell backtick execution

```bash

The following bash example runs cd and python scripts/discover.py with user-derived task values. This is a real shell execution path and can be unsafe if arguments are not passed safely.

Médio

SKILL.md:100

Hidden file access

- **Claude Code**:项目级 `.claude/skills/`,全局 `~/.claude/skills/`

The same Claude Code line includes hidden project and home skill directories. Access to these paths is legitimate for installation but security-relevant.

Médio

SKILL.md:101

Hidden file access

- **OpenCode**:项目级 `.opencode/skills/`,全局 `~/.config/opencode/skills/`

The OpenCode line includes hidden configuration paths. Access to these paths can alter agent behavior and should be treated as security-relevant.

Médio

SKILL.md:102

Hidden file access

- **Codex CLI**:项目级 `.codex/skills/`,全局 `~/.codex/skills/`

The Codex line includes hidden project and global skill directories. Modifying these directories can persist marketplace content for future sessions.

Médio

SKILL.md:103

Hidden file access

- **Gemini CLI**:项目级 `.gemini/skills/`,全局 `~/.gemini/skills/`

The Gemini line includes hidden project and home skill directories. Hidden skill directory access is expected here but remains a real persistence risk.

Baixo

scripts/discover.py:13

Python HTTP libraries

from urllib.request import Request, urlopen

The script imports urllib.request and uses it to make outbound HTTP requests. Network access is the intended behavior, but it still exposes task details to a third-party service.

Baixo

scripts/discover.py:17

Hardcoded URL

DISCOVER_API_BASE = "https://api.skillradar.quest"

The API endpoint is hardcoded to api.skillradar.quest. This creates a fixed external dependency and sends discovery inputs outside the local environment.

Baixo

SKILL.md:84

Hardcoded URL

"install_url": "https://cdn.skillradar.quest/skills/extract-action-items/skill.zip?v=1738300000"

The example output includes a hardcoded CDN URL for a skill ZIP package. Even as an example, it documents remote package retrieval from a third-party domain.

Baixo

SKILL.md:93

Hardcoded URL

`install_url` 指向技能的 ZIP 压缩包地址(如 `https://cdn.skillradar.quest/skills/xxx/skill.zip?v=1738300000`)。

The installation instructions explicitly point to CDN-hosted ZIP files. This confirms a network-based installation path for remote skills.

Fatores de risco

🌐 Acesso à rede (4)

scripts/discover.py:13 scripts/discover.py:17 SKILL.md:84 SKILL.md:93

⚙️ Comandos externos (20)

📁 Acesso ao sistema de arquivos (8)

SKILL.md:100 SKILL.md:101 SKILL.md:102 SKILL.md:103 SKILL.md:100 SKILL.md:101 SKILL.md:102 SKILL.md:103

Auditado por: codex Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/zhiyuzi-discover-skills/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/zhiyuzi-discover-skills/security.svg)](https://skillstore.io/skills/zhiyuzi-discover-skills?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/zhiyuzi-discover-skills?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/zhiyuzi-discover-skills/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/zhiyuzi-discover-skills.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

zhiyuzi. (2026). discover-skills security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/zhiyuzi-discover-skills/audits/4

Citação BibTeX

@techreport{zhiyuzi-zhiyuzi-discover-skills-2026,
  author = {zhiyuzi},
  title = {discover-skills security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/zhiyuzi-discover-skills/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "discover-skills security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "zhiyuzi"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/zhiyuzi-discover-skills/audits/4"
identifiers:
  - type: other
    value: "skillstore:zhiyuzi-discover-skills:audit:4"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Alto

Arquitetura

Manutenibilidade

Conteúdo

Comunidade

Conformidade com a especificação

O que você pode criar

Localizar uma Skill de Fluxo de Trabalho Ausente

Encontre um pequeno conjunto de skills candidatas quando as skills locais existentes não cobrem a tarefa solicitada.

Comparar Candidatas do Marketplace

Revise nomes, descrições, pontuações e motivos de correspondência das candidatas antes de escolher uma skill para inspecionar.

Preparar uma Instalação Controlada

Use a URL de instalação retornada e a orientação de caminho para planejar uma instalação de skill em nível de projeto.

Teste estes prompts

Encontrar uma Skill Básica

Encontre skills que possam me ajudar a resumir anotações longas de reuniões em itens de ação. Use palavras-chave simples e retorne as melhores candidatas.

Pesquisar com Restrições

Encontre skills candidatas para extrair tabelas de PDFs. A skill deve oferecer suporte a saída CSV e deve funcionar com arquivos locais.

Comparar Qualidade das Candidatas

Pesquise skills que auditem arquivos Terraform. Compare os cinco principais resultados e explique quais candidatas parecem mais relevantes.

Planejar uma Instalação Segura

Encontre skills para limpeza de imagens e depois recomende apenas etapas de instalação em nível de projeto. Destaque quaisquer riscos de rede ou de confiança em pacotes antes de instalar.

Boas práticas

Use metas de tarefa concisas, restrições específicas e de três a dez palavras-chave relevantes.
Revise as descrições das candidatas e os motivos de correspondência antes de escolher uma skill.
Prefira instalação em nível de projeto, a menos que o usuário aprove explicitamente uma instalação global.

Evitar

Não envie detalhes privados do projeto para serviços de descoberta sem o consentimento do usuário.
Não instale um pacote ZIP retornado sem revisar sua origem e seu conteúdo.
Não force uma candidata fraca quando os resultados não correspondem à tarefa.

Perguntas frequentes

O que esta skill faz?

Ela pesquisa no SkillRadar por skills que correspondem a uma meta de tarefa, restrições e palavras-chave.

Ela requer acesso à rede?

Sim. O script incluído envia uma solicitação para a API SkillRadar.

Ela pode instalar skills automaticamente?

As instruções incluem orientação de instalação, mas os usuários devem aprovar e revisar qualquer pacote primeiro.

Quais informações são enviadas para a API?

O script envia a meta da tarefa, as restrições da tarefa, palavras-chave e a contagem máxima de resultados.

Ela verifica os pacotes de skills retornados?

Não. Os arquivos atuais não incluem lógica de verificação de checksum, assinatura ou confiança.

Quais ferramentas ela suporta?

O relatório lista suporte para Claude, Codex e Claude Code.

Detalhes do desenvolvedor

Autor

zhiyuzi

Licença

MIT

Revisão da Skillstore

Aviso de versão

O autor não declarou uma versão.

Repositório

https://github.com/zhiyuzi/Skillradar/tree/main/discover-skills

Referência

88a205c7f635a966e31156313b590d59007c5caa

Atualidade da manutenção

18/07/2026

Uso

742 downloads · 285 visualizações

Estrutura de arquivos

📁 scripts/

📄 discover.py

📄 SKILL.md