技能 hyperframes-creative

📦

hyperframes-creative

Name: hyperframes-creative
Author: heygen-com

内容修订 r2 中风险 🌐 网络访问📁 文件系统访问⚙️ 外部命令⚡ 包含脚本🔑 环境变量

直接指导 HyperFrames 视频设计

如果视觉、叙事和品牌决策彼此割裂，HyperFrames 项目的整体风格可能会显得不一致。此技能通过有针对性的参考资料、预设和审计脚本来协调这些决策。

支持: Claude Codex Code(CC)

⚠️ 50 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "hyperframes-creative" from https://skillstore.io/skills/heygen-com-hyperframes-creative.md and its manifest at https://skillstore.io/api/skills/heygen-com-hyperframes-creative/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/heygen-com-hyperframes-creative.md 已签名 manifest GET /api/skills/heygen-com-hyperframes-creative/manifest 已签名 lockfile GET /api/skills/heygen-com-hyperframes-creative/lockfile

测试它

正在使用“hyperframes-creative”。为一段沉稳的金融研究视频制定视觉方向。

预期结果:

使用暖色调的明亮画布，并搭配一种高饱和度的钴蓝色强调色。
将克制的几何展示字体与中性的正文字体搭配使用。
每个场景围绕一个证据面板和一个解释性视觉焦点展开。

正在使用“hyperframes-creative”。为开发者工具发布规划五个节拍。

预期结果:

第一个节拍通过直接的视觉对比呈现问题。
第二和第三个节拍演示工作流程并展示佐证。
第四个节拍呈现可衡量的成效。
第五个节拍以明确的行动指引收尾。

正在使用“hyperframes-creative”。审查一个可读性较差的合成。

预期结果:

审计会找出低对比度文本、尺寸过小的标签、空洞的背景、重复的入场动画，并针对每个场景提出具体的视觉修正建议。

安全审计

中风险

v6 • 2026/7/19 打开版本化报告

Most static matches are false positives caused by JavaScript template literals, Markdown, local preview markup, and documented rendering utilities. The audit confirms optional npm bootstrap, dynamic package import, and unescaped innerHTML rendering as capabilities that require review; no credential exfiltration or prompt-injection attempt was found. Static review was capped at 400/847 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

已扫描文件

28,811

分析行数

复核项

已忽略误报

已确认安全问题 (1)

中

scripts/package-loader.mjs:148-159

Unpinned dependency fallback during optional bootstrap

When no bundled version is found, the helper returns an @latest package specification. A confirmed bootstrap can therefore install a future, unreviewed release from npm.

The fallback and its @latest return value are explicit. Installation is user-confirmed and disables lifecycle scripts, which limits but does not remove supply-chain exposure.

能力复核项 (17)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

scripts/package-loader.mjs:11

Node.js child_process module

import { spawnSync } from "node:child_process";

The module imports spawnSync to invoke npm and restart Node. Its documented argv-only invocation reduces injection risk, but the capability executes external programs.

高

scripts/package-loader.mjs:344

Synchronous spawn

const installResult = spawnSync(

The loader invokes npm and then restarts Node. Although arguments are passed as an argv array and installation requires confirmation, this is real external command execution and dependency installation.

高

scripts/package-loader.mjs:367

Synchronous spawn

const result = spawnSync(process.execPath, args, {

中

scripts/package-loader.mjs:54

Dynamic import() expression

modules[packageName] = await import(pathToFileURL(entry).href);

The loader dynamically imports a resolved package entry. Resolution is constrained to package lookup paths, but loading an attacker-controlled local package remains a meaningful execution boundary.

中

templates/design-picker.html:848