Навыки motion-graphics
📦
motion-graphics
Ревизия содержимого r2 Высокий риск 📁 Доступ к файловой системе🔑 Переменные окружения⚙️ Внешние команды🌐 Доступ к сети
Создание короткой моушн-графики с помощью HyperFrames
Создание короткой моушн-графики требует согласованного планирования, подготовки ресурсов, анимации, рендеринга и проверки качества. Этот навык помогает Claude, Codex и Claude Code использовать многократно применимый рабочий процесс HyperFrames.
Поддерживает: Claude Codex Code(CC)
Остановитесь и запросите подтверждение перед установкой.
Проверьте план и получите явное согласие пользователя перед изменением файлов.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "motion-graphics" from https://skillstore.io/skills/heygen-com-motion-graphics.md and its manifest at https://skillstore.io/api/skills/heygen-com-motion-graphics/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «motion-graphics». Создай шестисекундную вертикальную графику с объявлением о 2 миллионах пользователей, темным фоном и ярко-зелеными акцентами.
Ожидаемый результат:
Шестисекундный вертикальный MP4 с возрастающим счетчиком, вспомогательной кольцевой анимацией, сдержанными подписями и читаемой финальной паузой.
Использование «motion-graphics». Анимируй страницу с тарифами продукта и выдели кнопку годового плана без закадрового текста.
Ожидаемый результат:
Короткая анимация веб-страницы с захваченной страницей, управляемой прокруткой, движением курсора, точным выделением кнопки, эффектом пульсации при нажатии и финальным масштабированием.
Использование «motion-graphics». Покажи масштабирование карты от Европы к Франции, затем обведи границу Франции и добавь подпись.
Ожидаемый результат:
Детерминированное видео с картой, включающее заранее подготовленную базовую карту, движение камеры, динамическое наложение границы, появление подписи и локальные для проекта координатные данные.
Аудит безопасности
Высокий рискv6 • 19.07.2026 Открыть версионный отчет
The skill contains legitimate motion-graphics tooling, but its map and localization helpers execute local programs, access remote resources, and handle an optional API credential. Review found unsafe autonomous update guidance, an unsandboxed browser with remote scripts, and missing output-path and external-content trust controls. Most template-literal, documentation, and visual-animation matches were false positives.
23
Просканировано файлов
1,660
Проанализировано строк
23
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (5)
Высокий
Environment file access
const key = process.env.GEMINI_API_KEY;
The code accesses GEMINI_API_KEY from the environment. It is an actual credential-handling path, despite the pattern name.
Высокий
Unsandboxed browser executes remote content
The map baker disables the Chrome sandbox and loads JavaScript and map resources from remote endpoints. A compromised remote dependency or browser exploit could affect the host build environment.
The source explicitly loads remote scripts and passes --no-sandbox to Puppeteer. These controls combine into a clear host-isolation risk.
Высокий
External content prompt injection exposure
The autonomous workflow sources external assets and includes resolved asset information in subagent context without an explicit rule that fetched content is untrusted data. Malicious webpages or assets can contain instruction-like content.
The workflow is autonomous and forwards resolved external assets to subagents. The reviewed instructions do not establish a content trust boundary.
Средний
categories/maps/bake-basemap.mjs:61categories/maps/bake-basemap.mjs:111-113categories/maps/bake-basemap.mjs:227-257
Output path traversal through environment name
The map baker uses the unvalidated NAME environment value to form frame directories and output filenames. A value containing path separators can escape the intended output directory.
NAME is directly concatenated into paths without basename validation or containment checks.
Средний
Unattended remote package update
The skill directs the agent to run a silent npx update before work begins, allowing remotely fetched package code to change the installed skill without confirmation.
The instructions explicitly say to update silently and describe global updates from GitHub.
Пункты проверки возможностей (23)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Node.js child_process module
import { spawnSync } from "node:child_process";
The helper launches a local browser process to render map frames. It is a real execution capability and the launched browser later disables its sandbox.
Высокий
Synchronous spawn
const ff = spawnSync(
The helper runs ffmpeg with filesystem-derived output paths and overwrite enabled. This is a real process-execution capability.
Высокий
Node.js child_process module
import { execFileSync } from "node:child_process";
The localizer invokes external media tools. Although it uses argument arrays, it is a real local command-execution capability.
Высокий
Synchronous file execution
execFileSync("ffmpeg", ["-v", "error", "-y", ...args], {
The localizer executes ffmpeg to transform caller-supplied image files. This is intentional but requires trusted inputs and a controlled environment.
Высокий
Synchronous file execution
const out = execFileSync("ffprobe", [
The localizer executes ffprobe on caller-supplied image files. This is intentional but is a real external execution capability.
Высокий
Synchronous file execution
const b64 = execFileSync("base64", ["-i", img]).toString().replace(/\n/g, "");
The optional detector path executes base64 on the selected image before upload. This is a real command execution capability.
Высокий
Generic API/secret keys
const key = process.env.GEMINI_API_KEY;
The optional detector reads GEMINI_API_KEY and transmits it to a remote API endpoint.
Высокий
Generic API/secret keys
"auto needs GEMINI_API_KEY; use the grid loop instead (overlay→region→final→mark)",
The documentation and error message expose that the optional auto mode requires GEMINI_API_KEY.
Высокий
Generic API/secret keys
1. **A strong detector is available** (e.g. `GEMINI_API_KEY` in env) →
The protocol directs use of an environment API key for the optional detector path.
Средний
Synchronous file operations
writeFileSync(join(OUT, NAME + "-coords.json"), JSON.stringify(coords));
The helper writes a coordinate JSON artifact using an environment-controlled output name. Unvalidated path components can affect the write destination.
Средний
Ruby/shell backtick execution
> **First, keep this skill fresh — run silently, don't ask:** `npx hyperframes skills update motion-
The workflow instructs an unattended npx skill update before use. This can execute newly fetched package code without user confirmation.
Низкий
Fetch API call
fetch("https://cdn.jsdelivr.net/npm/world-atlas@2.0.2/countries-110m.json").then(function(r){return
The generated browser page fetches remote geographic data at runtime. This creates a network and third-party content trust boundary.
Низкий
Hardcoded URL
"https://server.arcgisonline.com/ArcGIS/rest/services/World_Imagery/MapServer/tile/{z}/{y}/{x}",
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Hardcoded URL
dark: "https://a.basemaps.cartocdn.com/dark_all/{z}/{x}/{y}.png",
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Hardcoded URL
light: "https://a.basemaps.cartocdn.com/light_all/{z}/{x}/{y}.png",
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Hardcoded URL
<link href="https://cdn.jsdelivr.net/npm/maplibre-gl@5.24.0/dist/maplibre-gl.css" rel="stylesheet">
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Hardcoded URL
<script src="https://cdn.jsdelivr.net/npm/maplibre-gl@5.24.0/dist/maplibre-gl.js"></script>
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Hardcoded URL
<script src="https://cdn.jsdelivr.net/npm/topojson-client@3.1.0/dist/topojson-client.min.js"></scrip
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Hardcoded URL
fetch("https://cdn.jsdelivr.net/npm/world-atlas@2.0.2/countries-110m.json").then(function(r){return
The map bake loads remote tiles or pinned CDN resources at runtime. This is an intentional network dependency with third-party content risk.
Низкий
Fetch API call
const res = await fetch(
Optional auto localization uploads image data and a target label to the Google endpoint. This has a genuine data-disclosure and network boundary.
Низкий
Hardcoded URL
`https://generativelanguage.googleapis.com/v1beta/models/gemini-3.5-flash:generateContent?key=${key}
The optional detector endpoint includes the API key in a URL query parameter. This can expose the key in request logging.
Низкий
Environment variable access (dot notation)
const key = process.env.GEMINI_API_KEY;
The optional detector reads an API credential from the process environment for an external request.
Низкий
Environment variable object
const key = process.env.GEMINI_API_KEY;
The optional detector reads an API credential from the process environment for an external request.
Факторы риска
📁 Доступ к файловой системе (12)
agents/builder.md:36 categories/maps/bake-basemap.mjs:23 categories/maps/bake-basemap.mjs:257 categories/webpage/module.md:18 grounding/locate.mjs:56 grounding/PROTOCOL.md:27 grounding/PROTOCOL.md:28 grounding/PROTOCOL.md:30 grounding/PROTOCOL.md:31 grounding/PROTOCOL.md:36 references/builder-contract.md:36 SKILL.md:22
🔑 Переменные окружения (35)
categories/asset-fusion/module.md:13 categories/maps/bake-basemap.mjs:31 categories/maps/bake-basemap.mjs:61 categories/maps/bake-basemap.mjs:62 categories/maps/bake-basemap.mjs:63 categories/maps/bake-basemap.mjs:64 categories/maps/bake-basemap.mjs:65 categories/maps/bake-basemap.mjs:66 categories/maps/bake-basemap.mjs:67 categories/maps/bake-basemap.mjs:68 categories/maps/bake-basemap.mjs:69 categories/maps/bake-basemap.mjs:71 categories/maps/bake-basemap.mjs:72 categories/maps/bake-basemap.mjs:74 categories/maps/bake-basemap.mjs:111 categories/maps/bake-basemap.mjs:31 categories/maps/bake-basemap.mjs:61 categories/maps/bake-basemap.mjs:62 categories/maps/bake-basemap.mjs:63 categories/maps/bake-basemap.mjs:64 categories/maps/bake-basemap.mjs:65 categories/maps/bake-basemap.mjs:66 categories/maps/bake-basemap.mjs:67 categories/maps/bake-basemap.mjs:68 categories/maps/bake-basemap.mjs:69 categories/maps/bake-basemap.mjs:71 categories/maps/bake-basemap.mjs:72 categories/maps/bake-basemap.mjs:74 categories/maps/bake-basemap.mjs:111 grounding/locate.mjs:191 grounding/locate.mjs:191 grounding/locate.mjs:191 grounding/locate.mjs:194 grounding/PROTOCOL.md:19 SKILL.md:73
⚙️ Внешние команды (50)
categories/maps/bake-basemap.mjs:25 categories/maps/bake-basemap.mjs:229 categories/maps/bake-basemap.mjs:1 categories/maps/bake-basemap.mjs:7 categories/maps/bake-basemap.mjs:12 categories/maps/bake-basemap.mjs:97 categories/maps/bake-basemap.mjs:116-182 categories/maps/bake-basemap.mjs:203 categories/maps/bake-basemap.mjs:205 categories/maps/bake-basemap.mjs:215 categories/maps/bake-basemap.mjs:218 categories/maps/bake-basemap.mjs:224 categories/maps/bake-basemap.mjs:251 categories/maps/bake-basemap.mjs:254 categories/maps/bake-basemap.mjs:259 categories/maps/bake-basemap.mjs:265 categories/maps/bake-basemap.mjs:269 grounding/locate.mjs:23 grounding/locate.mjs:35 grounding/locate.mjs:39 grounding/locate.mjs:199 grounding/locate.mjs:76 grounding/locate.mjs:79 grounding/locate.mjs:84 grounding/locate.mjs:87 grounding/locate.mjs:116 grounding/locate.mjs:117 grounding/locate.mjs:122 grounding/locate.mjs:123 grounding/locate.mjs:145 grounding/locate.mjs:146 grounding/locate.mjs:149 grounding/locate.mjs:153 grounding/locate.mjs:155 grounding/locate.mjs:184 grounding/locate.mjs:207 grounding/locate.mjs:215 samples/asset-fusion/_ref-circle-highlight.html:202 samples/asset-fusion/_ref-circle-highlight.html:220 samples/asset-fusion/_ref-circle-highlight.html:227 samples/asset-fusion/_ref-circle-highlight.html:232 samples/asset-fusion/_ref-circle-highlight.html:246 samples/asset-fusion/_ref-circle-highlight.html:291 SKILL.md:14 SKILL.md:16 SKILL.md:20 SKILL.md:22 SKILL.md:24 SKILL.md:28 SKILL.md:29
🌐 Доступ к сети (11)
categories/maps/bake-basemap.mjs:153 categories/maps/bake-basemap.mjs:106 categories/maps/bake-basemap.mjs:107 categories/maps/bake-basemap.mjs:108 categories/maps/bake-basemap.mjs:117 categories/maps/bake-basemap.mjs:118 categories/maps/bake-basemap.mjs:119 categories/maps/bake-basemap.mjs:153 grounding/locate.mjs:214 grounding/locate.mjs:215 samples/asset-fusion/_ref-circle-highlight.html:187
Аудитор:: claude Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/heygen-com-motion-graphics/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/heygen-com-motion-graphics?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/heygen-com-motion-graphics?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/heygen-com-motion-graphics/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/heygen-com-motion-graphics.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
heygen-com. (2026). motion-graphics security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/heygen-com-motion-graphics/audits/6Цитата BibTeX
@techreport{heygen-com-heygen-com-motion-graphics-2026,
author = {heygen-com},
title = {motion-graphics security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/heygen-com-motion-graphics/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "motion-graphics security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "heygen-com"
date-released: "2026-07-19"
url: "https://skillstore.io/skills/heygen-com-motion-graphics/audits/6"
identifiers:
- type: other
value: "skillstore:heygen-com-motion-graphics:audit:6"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Средний 45
Архитектура
85
Сопровождаемость
87
Контент
67
Сообщество
83
Соответствие спецификации
Что вы можете построить
Создание моушн-публикаций для социальных сетей
Превратите цитату, статистику, логотип или объявление в короткую вертикальную или квадратную моушн-графику.
Демонстрация интерфейсов продуктов
Захватите веб-страницу и анимируйте прокрутку, движение курсора, выделение, масштабирование и выноски без закадрового текста.
Визуальное представление данных
Анимируйте диаграммы, карты, факты из статей или геометрию изображений, превращая их в сфокусированный рассказ на основе данных.
Попробуйте эти промпты
Создание простой моушн-графики
Создай шестисекундную моушн-графику в формате 9:16 для [message]. Используй [colors], крупный читаемый текст, один четкий мотив движения и выходной файл MP4.
Анимация статистики
Создай восьмисекундную анимацию статистики в формате 1:1 для [value and context]. Добавь возрастающий счетчик, один вспомогательный элемент диаграммы и четкую финальную паузу.
Создание выделения на веб-странице
Захвати [URL] и создай семисекундное выделение в формате 16:9. Покажи [element], анимируй взаимодействие с курсором, точно выполни масштабирование и добавь одну лаконичную выноску.
Объединение ресурса с данными
Используй [image] для визуализации [data]. Точно привяжи целевую геометрию, создай палитру на основе изображения, свяжи графику с ресурсом и отрендери прозрачное наложение.
Лучшие практики
- Укажите сообщение, длительность, соотношение сторон, фирменные цвета, исходные ресурсы и требуемый формат результата.
- Используйте один визуальный мотив и одно основное сообщение, чтобы финальный кадр оставался читаемым.
- Перед передачей результата проверьте найденные ресурсы, привязанные позиции, результаты линтера, вывод инспекции и отрендеренное видео.
Избегать
- Не используйте этот навык для видео с закадровым текстом, живой съемкой или сложной многосценовой структурой.
- Не используйте актуальные сетевые данные во время рендеринга, поскольку результаты должны оставаться детерминированными.
- Не оценивайте приблизительно координаты изображения или веб-страницы, если доступны привязка или измерения DOM.
Часто задаваемые вопросы
Какие виды моушн-графики можно создавать с помощью этого навыка?
Он поддерживает кинетический текст, статистику, диаграммы, логотипы, нижние титры, карты, выделение фрагментов статей, демонстрации веб-страниц, твиты и графику, объединяющую ресурсы.
Какие выходные форматы поддерживаются?
По умолчанию рабочий процесс рендерит MP4, а для прозрачных наложений можно использовать WebM или MOV.
Поддерживает ли он закадровый текст?
Нет. Он предназначен для короткой графики без закадрового текста, в которой сообщение передается посредством движения.
Можно ли использовать внешние веб-страницы или новостные статьи?
Да. Категории, использующие поиск, могут захватывать или находить материалы, а затем сохранять их как локальные ресурсы проекта перед рендерингом.
Требуются ли ключи API?
Нет. Ключи API необязательны, но для некоторых функций генерации, поиска или автоматического обнаружения объектов на изображениях требуется доступ к сервису поставщика.
Какое программное обеспечение требуется?
Для полного рабочего процесса требуются Node.js, FFmpeg, HyperFrames и поддерживаемая версия Chrome.
Сведения для разработчиков
Автор
heygen-comЛицензия
MIT
Ревизия Skillstore
r2
Примечание о версии
Автор не указал версию.
Ссылка
77d0e66fbadeb1f5d1e6a5aada7861240b8ed2d7
Актуальность поддержки
20.07.2026
Использование
1 загрузок · 0 просмотров