Навыки skywork-design
📦
skywork-design
Ревизия содержимого r1 Высокий риск 🌐 Доступ к сети📁 Доступ к файловой системе🔑 Переменные окружения⚙️ Внешние команды
Создание визуальных материалов с помощью Skywork
Командам нужны быстрые визуальные материалы без ручной настройки дизайна. Этот навык использует рабочие процессы Skywork для изображений, чтобы генерировать или редактировать изображения по четким промптам.
Поддерживает: Claude Codex Code(CC)
Остановитесь и запросите подтверждение перед установкой.
Проверьте план и получите явное согласие пользователя перед изменением файлов.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "skywork-design" from https://skillstore.io/skills/skyworkai-skywork-design.md and its manifest at https://skillstore.io/api/skills/skyworkai-skywork-design/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «skywork-design». Создать квадратное hero-изображение для дорожной кружки из нержавеющей стали.
Ожидаемый результат:
- Hero-изображение продукта в 4K с чисто белым фоном и центрированной композицией.
- Локальный файл изображения и доступный для отправки Skywork OSS URL.
- Короткое статусное сообщение, если генерация не удалась или преимуществ учетной записи недостаточно.
Использование «skywork-design». Преобразовать этот референс логотипа в премиальный макет канцелярии.
Ожидаемый результат:
- Макет канцелярии 3:4, сохраняющий предоставленный логотип и фирменные цвета.
- Краткая заметка с описанием сохраненного изображения и удаленной ссылки на изображение.
Использование «skywork-design». Создать брошюру с двумя фальцами для wellness-студии.
Ожидаемый результат:
- Внешняя сторона брошюры с тремя панелями и четкой структурой сгибов.
- Внутренняя сторона может быть создана после одобрения пользователем визуального направления.
Аудит безопасности
Высокий рискv5 • 07.07.2026 Открыть версионный отчет
The skill performs legitimate image generation work, but it uses external Skywork APIs, uploads user prompts and reference images, and stores reusable authentication tokens in a hidden home-directory file. Most prose-based static hits are false positives, while the confirmed risks are concentrated in network transfer, token handling, Windows shell launch behavior, and local file writes.
11
Просканировано файлов
1,166
Проанализировано строк
23
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (2)
Высокий
Prompts and Reference Images Sent to External API
The image workflow sends user prompts, optional base64 reference images, and an authentication token to Skywork API endpoints. This is disclosed as core behavior, but it can expose sensitive visual assets or prompt content to a third party.
The code directly constructs token-bearing HTTP requests and includes prompt text plus base64 image data in request bodies. This is clear third-party data transfer, although it is expected for the skill.
Средний
Unvalidated Upgrade Link From Script Output
The instructions tell the agent to extract an upgrade URL from script output and present it to the user. Without domain validation, compromised output could cause a user-facing phishing or payment-redirection link.
The instruction explicitly forwards a URL parsed from logs, but the observed text does not show host validation. The risk depends on the trustworthiness of backend error output.
Пункты проверки возможностей (23)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Python subprocess.Popen
subprocess.Popen(["start", url], shell=True, start_new_session=True,
The Windows branch launches the browser with shell=True and a URL influenced by configuration. Shell interpretation creates an injection risk if the URL source is compromised or misconfigured.
Высокий
Hidden file in home directory
Token is stored in user home directory as ~/.skywork_token (JSON format).
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
Высокий
Hidden file in home directory
TOKEN_FILE = os.path.expanduser("~/.skywork_token")
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
Высокий
Hidden file access
Token is stored in user home directory as ~/.skywork_token (JSON format).
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
Высокий
Hidden file access
TOKEN_FILE = os.path.expanduser("~/.skywork_token")
The code stores an authentication token in a hidden home-directory file. Persistent plaintext credential storage is security-sensitive and lacks permission hardening in the shown implementation.
Высокий
Python file write/append
with open(TOKEN_FILE, "w", encoding="utf-8") as f:
The script writes token data to the cache file without setting restrictive file permissions. A reusable credential can remain exposed to other local processes or backups.
Высокий
Hidden file in home directory
2. Cached token file `~/.skywork_token` → validate via API, if valid, use it
The documentation directs use of a cached token file in the user home directory. That matches the script behavior and represents persistent credential storage.
Высокий
Hidden file access
2. Cached token file `~/.skywork_token` → validate via API, if valid, use it
The documentation directs use of a cached token file in the user home directory. That matches the script behavior and represents persistent credential storage.
Средний
Python HTTP libraries
req = urllib.request.Request(
The script sends POST requests to the Skywork gateway with a token header and prompt or image payloads. This is a real third-party data transfer risk, even though it is expected behavior.
Средний
Python HTTP libraries
with urllib.request.urlopen(req, timeout=300) as resp:
The script sends POST requests to the Skywork gateway with a token header and prompt or image payloads. This is a real third-party data transfer risk, even though it is expected behavior.
Средний
Hardcoded URL
SKYWORK_GATEWAY_URL = os.environ.get("SKYWORK_GATEWAY_URL", "https://api-tools.skywork.ai/theme-gate
The gateway defaults to an external Skywork endpoint and can be overridden by SKYWORK_GATEWAY_URL. Later token-bearing requests use this base URL, so endpoint control is security relevant.
Средний
Python file write/append
with open(out_abs, "wb") as f:
The script writes downloaded remote image bytes to a caller-provided filename. This is expected output behavior but can overwrite or create files outside the intended workspace.
Средний
Python os file operations
os.makedirs(os.path.dirname(out_abs) or ".", exist_ok=True)
The script creates directories derived from the output path. This is legitimate for saving images, but it can modify arbitrary filesystem locations if the filename is unsafe.
Средний
Python environment access
SKYWORK_GATEWAY_URL = os.environ.get("SKYWORK_GATEWAY_URL", "https://api-tools.skywork.ai/theme-gate
SKYWORK_GATEWAY_URL controls the external endpoint used for later token-bearing API calls. This environment override could redirect prompts, images, and credentials.
Средний
Hardcoded URL
API_BASE = os.environ.get("SKYWORK_API_BASE", "https://api.skywork.ai")
The API base defaults to Skywork and can be overridden by environment. Token validation and login-key requests use this endpoint, making the network destination security relevant.
Средний
Hardcoded URL
LOGIN_BASE_URL = os.environ.get("SKYWORK_WEB_BASE", "https://skywork.ai")
The login web base defaults to Skywork and can be overridden by environment. The resulting URL is shown to users and opened in a browser, so redirect risk exists.
Средний
Python environment access
API_BASE = os.environ.get("SKYWORK_API_BASE", "https://api.skywork.ai")
SKYWORK_API_BASE can redirect authentication traffic. Because token checks use this endpoint, the environment variable is security-sensitive.
Средний
Python environment access
LOGIN_BASE_URL = os.environ.get("SKYWORK_WEB_BASE", "https://skywork.ai")
SKYWORK_WEB_BASE controls the login URL shown to users and opened in a browser. A malicious value could redirect users to an unexpected authentication page.
Низкий
Python HTTP libraries
import urllib.request
The HTTP library import is used later for real outbound requests. Network access is central to the skill and can transmit user prompts or image data.
Низкий
Python HTTP libraries
req = urllib.request.Request(file_url, method="GET")
The script downloads a result image from a URL returned by the API. This is expected, but it still retrieves remote content and writes it locally.
Низкий
Python HTTP libraries
with urllib.request.urlopen(req, timeout=120) as r:
The script downloads a result image from a URL returned by the API. This is expected, but it still retrieves remote content and writes it locally.
Низкий
Python environment access
env_token = os.environ.get("SKYBOT_TOKEN", "")
The script reads SKYBOT_TOKEN from the environment as a credential source. This is an expected auth pattern, but it is still access to secret material.
Низкий
Python environment access
env_token = os.environ.get("SKYBOT_TOKEN", "")
The script reads SKYBOT_TOKEN from the environment as a credential source. This is an expected auth pattern, but it is still access to secret material.
Факторы риска
🌐 Доступ к сети (9)
📁 Доступ к файловой системе (9)
🔑 Переменные окружения (6)
⚙️ Внешние команды (30)
scripts/skywork_auth.py:87 scripts/skywork_auth.py:90 scripts/skywork_auth.py:93 SKILL.md:22-25 SKILL.md:25-28 SKILL.md:28-29 SKILL.md:29-32 SKILL.md:32-41 SKILL.md:41-43 SKILL.md:43-46 SKILL.md:46-48 SKILL.md:48-51 SKILL.md:51-53 SKILL.md:53-59 SKILL.md:59-60 SKILL.md:60 SKILL.md:63-75 SKILL.md:75 SKILL.md:85-89 SKILL.md:89-92 SKILL.md:92-93 SKILL.md:93-94 SKILL.md:94-98 SKILL.md:98-99 SKILL.md:99-103 SKILL.md:103 SKILL.md:104-105 SKILL.md:105-106 SKILL.md:106-113 SKILL.md:113-114
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/skyworkai-skywork-design/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/skyworkai-skywork-design?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/skyworkai-skywork-design?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/skyworkai-skywork-design/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/skyworkai-skywork-design.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
SkyworkAI. (2026). skywork-design security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/skyworkai-skywork-design/audits/5Цитата BibTeX
@techreport{skyworkai-skyworkai-skywork-design-2026,
author = {SkyworkAI},
title = {skywork-design security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/skyworkai-skywork-design/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "skywork-design security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "SkyworkAI"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/skyworkai-skywork-design/audits/5"
identifiers:
- type: other
value: "skillstore:skyworkai-skywork-design:audit:5"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Средний 45
Архитектура
85
Сопровождаемость
87
Контент
70
Сообщество
83
Соответствие спецификации
Что вы можете построить
Запуск наборов изображений продуктов
Создавайте изображения для hero-блоков маркетплейса, лайфстайл-сцен и акцентов на функциях с согласованными размерами и визуальным стилем.
Разработка бренд-концепций
Генерируйте логотипы, карточки палитры, демонстрации типографики и макеты канцелярии на основе общего направления бренда.
Создание визуалов для кампаний
Создавайте публикации для соцсетей, постеры, брошюры и сюжетные визуалы в соотношениях сторон, специфичных для платформ.
Попробуйте эти промпты
Создать простое изображение
Create a 2K image of [subject] for [purpose]. Use a [style] look, [lighting] lighting, and a [aspect ratio] canvas.
Отредактировать референсное изображение
Edit the attached image to [change]. Preserve [important elements], adjust [colors or layout], and keep the final image suitable for [channel].
Построить визуальную систему бренда
Create a visual identity for [brand] in [industry]. Start with a logo concept, then align palette, typography, and mockup style around [brand adjectives].
Сгенерировать набор для листинга в электронной коммерции
Create a product image set for [product]. Include a white-background hero, lifestyle scene, feature callout image, and optional detail shots for [buyer concerns].
Лучшие практики
- Указывайте целевой канал, аудиторию, требуемое соотношение сторон и конечное использование перед генерацией.
- Используйте референсные изображения, когда важна согласованность в рамках кампании или бренд-системы.
- Проверяйте сгенерированный текст, логотипы, заявления о продукте и детали бренда перед публикацией.
Избегать
- Не отправляйте конфиденциальные фотографии продуктов или частные документы без одобрения пользователя.
- Не запрашивайте множество несвязанных визуальных стилей в одном промпте.
- Не используйте сгенерированные коммерческие материалы без проверки требований к бренду, товарным знакам и платформе.
Часто задаваемые вопросы
Работает ли этот навык без учетной записи Skywork?
Нет. Требуется действительный токен Skywork из окружения, кэшированный вход или аутентификация через браузер.
Может ли он редактировать существующие изображения?
Да. Он принимает одно или несколько референсных изображений и отправляет их вместе с инструкциями по редактированию в Skywork API.
Какие соотношения сторон поддерживаются?
Он поддерживает распространенные соотношения, включая квадратный формат, портрет, ландшафт, mobile story, баннер и ultra-wide форматы.
Где хранятся сгенерированные изображения?
Скрипт сохраняет изображение в запрошенный локальный файл и также выводит удаленный OSS URL.
Может ли он создавать полноценные бренд-системы?
Он может направлять создание многоэтапных брендовых материалов, таких как логотипы, палитры, образцы типографики, паттерны и макеты канцелярии.
Что пользователям следует проверить перед публикацией?
Пользователям следует проверять точность изображения, читаемый текст, заявления о продукте, соответствие бренду и контент, чувствительный к правам.