סקילים שבדקתי
בשבילכם.

הסקיל מספק הנחיות עיצוב UI/UX באמצעות סקריפט חיפוש מקומי בפייתון על קבצי CSV/JSON מקומיים (צבעים, גרפים, הנחיות נגישות). בחלק זה לא נמצאו קריאות רשת, איסוף סודות, קוד מוסתר או הזרקת הנחיות. כתיבת קבצים מתבצעת רק לתיקיית design-system בפרויקט, ודריסה של קבצים קיימים מחייבת אישור מפורש מהמשתמש. (נבדק ב-9 חלקים. ההחלטה לפי החלק המחמיר.)

סקיל של הנחיות עיצוב בלבד לבניית דפי נחיתה, תיקי עבודות ועיצובים מחדש, בלי סקריפטים ובלי קוד הרצה. לא נמצאו איסוף סודות, שליחת נתונים או הזרקת פרומפט. הסיכון נמוך, אבל הסוכן מונחה להתקין חבילות npm (כולל npx shadcn@latest) ולהטמיע בדפים שנוצרים משאבים מ-CDN חיצוניים כמו picsum.photos ו-simpleicons.

הסקיל מספק ארכיטקטורת טוקנים לעיצוב (primitive→semantic→component), סקריפטים מקומיים ליצירת CSS ולבדיקת שימוש בטוקנים, וכן מערכת חיפוש BM25 ויצירת מצגות HTML. לא נמצאו גניבת סודות, הרצת קוד מרוחק או הזרקת הוראות. עם זאת, קבצי ה-HTML שנוצרים טוענים משאבים מ-CDN חיצוניים, וסקריפט יצירת המצגות כותב לנתיב שנגזר ממיקום הסקיל ועלול ליפול מחוץ לפרויקט, ולכן הסיכון נמוך אך כדאי להיות מודעים לכך.

הסקיל מספק הנחיות וסקריפטים לבניית ממשקים עם shadcn/ui ו-Tailwind CSS: הוספת קומפוננטות דרך ה-CLI של shadcn ויצירת קובץ tailwind.config. לא נמצאו גניבת מידע, הסתרה או התמדה. הסיכון העיקרי הוא הרצת חבילות npm דרך npx, שמורידות ומריצות קוד מ-npm ומה-registry של shadcn, וזה צפוי לפי מטרת הסקיל.

הסקיל סורק קוד אנימציות בפרויקט, מפיק טבלת ממצאים מתועדפת ותוכניות יישום מפורטות לתיקיית plans/ בלבד, בלי לשנות את קוד המקור. אין בו סקריפטים, קריאות רשת, טיפול בסודות או הוראות מסתתרות, ולכן הסיכון נמוך.

הסקיל בודק רכיבי ממשק משתמש באמצעות נתוני קצה מציאותיים (שמות ארוכים, אימיילים בלי נקודות שבירה, ספירות קיצוניות ועוד). הוא בונה מתג פיתוח בלבד בין נתוני הדמו לנתוני המקרה הגרוע, ומדווח מה נשבר ואיך לתקן. אין בו סקריפטים, קריאות רשת, גישה לסודות או הוראות מזיקות, והוא אף מורה להתייחס לתוכן המאגר כנתונים בלבד.

הסקיל מספק הנחיות לבדיקה ולשיפור נגישות אתרים לפי WCAG 2.2, כולל דוגמאות קוד וזרימת עבודה עם Lighthouse ו-axe. לא נמצאו קוד זדוני, איסוף סודות או הזרקת הנחיות. הסיכון נמוך, אבל הסקיל מציע להריץ npx ולהתקין חבילת npm גלובלית, ולכן כדאי שהמשתמש יהיה מודע לכך.

הסקיל מנחה את הסוכן לכתוב פילוסופיית עיצוב כקובץ .md ואז ליצור יצירה ויזואלית כקובץ PDF או PNG, בעזרת גופנים מקומיים בתיקייה canvas-fonts. אין בו סקריפטים, איסוף סודות או שליחת נתונים. הסיכון נמוך, אבל יש בו הוראה פתוחה להוריד גופנים ממקור לא מוגדר, וכן משפט שמוצג כאילו המשתמש אמר אותו למרות שלא אמר.

הסקיל מספק מסגרות לקול מותג, זהות חזותית ומסרים, וכולל סקריפטים מקומיים ב-Node. הסקריפטים קוראים את docs/brand-guidelines.md, בודקים נכסים וכותבים את assets/design-tokens.json ו-assets/design-tokens.css. לא נמצאו קריאות רשת, איסוף סודות, הסתרה או התמדה. הסיכון העיקרי הוא שסקריפט הסנכרון מריץ סקריפט של סקיל אחר (design-system) שאינו כלול בחבילה ולכן לא נבדק.

זהו הסקיל הרשמי של shadcn/ui לניהול רכיבים, פריסטים ומערכות עיצוב באמצעות ה-CLI של shadcn, יחד עם כללי סגנון וקומפוזיציה מפורטים. לא נמצאו גניבת סודות, הסתרה או הזרקת הוראות. עם זאת, הסקיל מריץ אוטומטית `npx shadcn@latest` בטעינה (גרסה לא נעוצה מ-npm), ומתקין קוד מרג'יסטריז של צד שלישי, ולכן מומלץ להיות מודעים לסיכון.

סקיל רשמי של Supabase שמנחה את הסוכן בעבודה עם מסד הנתונים, האימות, ה-CLI ושרת ה-MCP של Supabase, וכולל רשימת בדיקות אבטחה מפורטת. לא נמצאו קוד זדוני, איסוף סודות או הזרקת הוראות. עם זאת, הסקיל מפעיל פקודות shell ו-SQL ישירות על מסד הנתונים, ניגש לרשת (תיעוד Supabase, שרת ה-MCP ו-GitHub) ומשתמש בטוקני גישה, ולכן ראוי שהמשתמש יהיה מודע לכך.

דורש: SUPABASE_ACCESS_TOKEN, SUPABASE_DB_PASSWORD, Supabase MCP OAuth / personal access token

הסקיל יוצר פרויקט React עם Vite, Tailwind ו-shadcn/ui, ואורז אותו לקובץ HTML יחיד שמוצג כ-artifact. לא נמצאו גניבת סודות, הסתרה או הזרקת הוראות, וקבצי הרכיבים הם קוד shadcn סטנדרטי. עם זאת, הסקריפטים מתקינים חבילות npm רבות מהרשת, חלקן בגרסת latest, ועלולים להתקין את pnpm באופן גלובלי.

הסקיל הוא מדריך תיעודי בלבד לבניית בוטים לטלגרם (grammY, Telegraf, python-telegram-bot) עם דגש על עברית/RTL, webhooks, תשלומי Stars ו-Mini Apps. אין בו סקריפטים להרצה, אין הוראות זדוניות ואין שליחת מידע ליעדים לא מוצהרים. הקוד שהוא מנחה ליצור דורש טוקן בוט ופונה ל-API של טלגרם, ולכן הוא מקבל אזהרה קלה בלבד.

דורש: BOT_TOKEN, TELEGRAM_BOT_TOKEN, WEBHOOK_SECRET, WEBHOOK_SECRET_TOKEN, ADMIN_CHAT_ID

הסקיל מספק כלים לבדיקת אפליקציות ווב מקומיות עם Playwright, וכולל סקריפט שמפעיל שרתים מקומיים, ממתין שיהיו זמינים, מריץ פקודת בדיקה ואז סוגר אותם. לא נמצאו גניבת סודות, תעבורה חיצונית או קוד מוסתר. עם זאת, הסקריפט מריץ פקודות shell שרירותיות (shell=True), וה-SKILL.md מורה לסוכן להריץ אותו בלי לקרוא את הקוד, ולכן מומלצת זהירות.

הסקיל הוא מדריך שיטות עבודה ל-Remotion (יצירת וידאו מקוד ב-React) עם דגש על עברית ו-RTL, ומורכב בעיקר מתיעוד ודוגמאות קוד שמקורם בסקיל הרשמי של Remotion. לא נמצאו הזרקות פרומפט, איסוף סודות, הסתרה או שליחת מידע ליעד שהמשתמש לא הגדיר. הסיכון נובע מהתקנת חבילות npx, הורדת whisper.cpp ומודלים, וקריאות לשירותים חיצוניים מוכרים (ElevenLabs, Mapbox) שדורשות מפתחות API.

דורש: ELEVENLABS_API_KEY, REMOTION_MAPBOX_TOKEN

הסקיל הוא מדריך מקיף ליצירת סרטונים מ-HTML ו-GSAP עם HyperFrames, עם דגש על עברית ו-RTL, וכולל שני סקריפטי Node מקומיים לניתוח אנימציה ולבדיקת ניגודיות. לא נמצאו גניבת סודות, הסתרה או הזרקת פרומפט, והסקריפטים לא מריצים תהליכים ולא שולחים נתונים. הסיכון נובע משימוש רחב ב-shell, מהרצת npx ו-npm install שמורידים קוד מ-npm, ומאפשרות לשלוח קבצי אודיו לשירותי ענן עם מפתחות API.

דורש: OPENAI_API_KEY (optional), GROQ_API_KEY (optional), ELEVENLABS_API_KEY (optional), GEMINI_API_KEY or GOOGLE_API_KEY (optional), HEYGEN_API_KEY (optional, implied by media-use engine)

הסקיל מוסיף שכבת התאמות לעברית מעל video-use: מתמלל וידאו דרך ElevenLabs Scribe, מתקן כיווניות RTL עם python-bidi וצורב כתוביות עם ffmpeg. לא נמצאו הדלפת מידע, הזרקת פרומפט או מנגנוני התמדה. עם זאת, הסקיל דורש מפתח API, מעלה את קובצי הווידאו של המשתמש לשרתי ElevenLabs, מתקין חבילות (pip, brew, apt עם sudo) וממליץ להוריד בינארי ffmpeg מאתר צד שלישי, ולכן מסווג כאזהרה.

דורש: ELEVENLABS_API_KEY

הסקיל מפיק חבילת פוסט-פרודקשן לפודקאסט בעברית: הערות פרק, סימוני פרקים ל-Spotify ול-Apple, קבצי SRT, סקריפטים של FFmpeg לחיתוך קליפים, וכיתובים לרשתות חברתיות. שני הסקריפטים המצורפים עובדים מקומית בלבד, בלי גישה לרשת ובלי איסוף סודות. הסיכון נמוך, אבל ההוראות כוללות התקנת תוכנה (tap צד-שלישי של Homebrew, apt), הורדת פונט עם curl ויצירת סקריפטי shell להרצה, ולכן כדאי לשים לב.

הסקיל מלמד ליצור מצגות בעברית עם תמיכת RTL, דרך Marp או python-pptx, וכולל סקריפט Python ששומר קובץ ‎.pptx מקומי בלבד. לא נמצאו גישה לסודות, שליחת מידע, הרצת קוד מרוחק או הזרקת הוראות. הסיכון נמוך: ההמלצה היא אזהרה רק בגלל התקנות גלובליות של חבילות וטעינת פונטים מ-Google Fonts בזמן הרינדור.

הסקיל הוא מדריך כתיבה למצגות בפריימוורק open-slide, עם דגש על עברית ו-RTL: פונטים, CSS לוגי, bdi, סקאלת טיפוגרפיה, הערות מרצה וסמני אינספקטור. אין בו גניבת סודות, שליחת נתונים או הוראות נסתרות. הסיכון העיקרי הוא הרצת npx להתקנת חבילת npm חיצונית והפניה לקבצי הוראות מרוחקים ב-GitHub שהסוכן מתבקש להתייחס אליהם כסמכותיים.

הסקיל מספק תבניות HTML, דפוסי פריסה ונוסחאות קופירייטינג ליצירת מצגות עם Chart.js. אין בו קוד זדוני, אך הוא מפנה להרצת סקריפט Python מסקיל אחר (design-system) שאינו כלול בחבילה ולא נבדק, והתבנית טוענת ספרייה מ-CDN חיצוני.

הסקיל מנחה את הסוכן לנהל שיחת בירור דרישות לפני בנייה, ולכתוב מסמך עיצוב. אפשר גם להפעיל שרת מקומי (Node) שמציג מוקאפים בדפדפן. הקוד נראה תואם לתיאור, הטלמטריה החיצונית בוטלה והשרת מוגן במפתח סשן. עם זאת, הוא מריץ תהליך רקע עם nohup, כותב קבצים לפרויקט ול-/tmp, ויכול להיחשף לרשת כשמשתמשים ב-0.0.0.0, ולכן מומלץ להיות מודעים לכך.

הסקיל דוחס קבצי זיכרון בשפה טבעית (כמו CLAUDE.md) לסגנון 'איש מערות' כדי לחסוך טוקנים. הוא שולח את תוכן הקובץ לספק LLM (Anthropic כברירת מחדל), דורס את הקובץ המקורי וכותב גיבוי מחוץ לפרויקט. הקוד שקוף ותואם את התיאור, ולא נמצאו בו קוד מוסתר, הרצת קוד מרוחק או איסוף סודות. הסיכון נובע משליחת תוכן לשירות חיצוני, מדריסת קבצים ומכתיבה מחוץ לפרויקט.

דורש: ANTHROPIC_API_KEY (optional; falls back to claude CLI auth), CAVEMAN_COMPRESS_API_KEY (optional, for openai-compat endpoint)

סקיל לאסטרטגיה ויצירת תוכן לרשתות חברתיות (LinkedIn, X, Instagram, TikTok, Facebook, Telegram) עם הנחיות לכתיבה, קרוסלות, וידאו קצר וניטור שיח. רובו הנחיות טקסטואליות בלבד. הסיכון בינוני-נמוך: הוא כולל פקודות curl ל-API ציבוריים (Reddit, Hacker News, Bluesky, YouTube) ושימוש בדפדפן עם סשן מחובר של המשתמש ל-LinkedIn ול-X, אך מדגיש שאין לפרסם אוטומטית בלי אישור.