🔒セキュリティ
全 253 件のスキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか（ラッパーやプロキシ、偽装ではないか）を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル（プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要：ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック（Black Hat Asia 2026）。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード（Webシェル）、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。
api-relay-audit
サードパーティのAI API リレー/プロキシサービスのセキュリティリスクを監査します。プロンプトインジェクション、プロンプト漏洩、命令オーバーライド、なりすまし攻撃（中国市場向け代替品）、ジェイルブレイク脆弱性、コンテキスト切り詰め、ツールコール パッケージ置換（AC-1.a）、エラーレスポンスヘッダー漏洩（AC-2隣接）、SSEレベルのストリーム整合性異常（AC-1ストリーミング）、Web3プロンプトインジェクション（SlowMist署名分離）を検出できます。リレーテスト、API監査、リレー監査、インジェクション検出、リレーセキュリティ、APIリレー監査などの用途で活用してください。
security-and-hardening
コードの脆弱性を強化します。ユーザー入力の処理、認証、データストレージ、外部連携を扱う際に使用してください。信頼されていないデータを受け付ける機能、ユーザーセッション管理、サードパーティサービスとの連携を構築する際に活用できます。
bagman
AIエージェント向けのセキュアなキー管理機能です。秘密鍵、APIシークレット、ウォレット認証情報の取り扱い、またはエージェント制御資金を必要とするシステム構築時にご利用ください。セキュアなストレージ、セッションキー、情報漏洩防止、プロンプトインジェクション対策に対応しています。
clade-security-basics
Anthropicの統合をセキュアに保つ — APIキー管理、入力検証、プロンプトインジェクション対策、データプライバシーに対応します。セキュリティの基礎パターンで作業する際に使用できます。「anthropic security」「claude api key security」「anthropic prompt injection」「secure claude integration」のトリガーワードで呼び出せます。
security-threat-model
コードベースやパスに対する脅威モデリングを実行します。信頼境界、資産、攻撃者の能力、悪用パス、対策を列挙し、簡潔なMarkdown形式の脅威モデルを作成します。ユーザーが明示的にコードベースやパスの脅威モデリング、脅威や悪用パスの列挙、またはAppSecの脅威モデリングを要求した場合のみ実行されます。一般的なアーキテクチャサマリー、コードレビュー、セキュリティ以外の設計作業では実行されません。
security-best-practices
言語とフレームワークに特有のセキュリティベストプラクティスレビューを実施し、改善提案を行います。ユーザーがセキュリティベストプラクティスのガイダンス、セキュリティレビュー/レポート、またはセキュアなデフォルト設定によるコーディング支援を明示的にリクエストした場合にのみ実行されます。対応言語（Python、JavaScript/TypeScript、Go）でのみ機能します。一般的なコードレビューやデバッグ、セキュリティ以外のタスクでは実行されません。
security-ownership-map
Gitリポジトリを分析して、セキュリティ所有権トポロジー（人物とファイルの関係）を構築し、バスファクターと機密コード所有権を計算します。結果をCSV/JSON形式でエクスポートしてグラフデータベースと可視化に対応させることができます。このスキルはユーザーがGitヒストリーに基づいたセキュリティ指向の所有権またはバスファクター分析を明確に要求した場合のみ実行します。例えば、孤立した機密コード、セキュリティメンテナー、リスク評価のためのCODEOWNERS検証、機密ホットスポット、所有権クラスターなどが該当します。一般的なメンテナーリストや非セキュリティ関連の所有権に関する質問では実行しません。
cti-expert
CTI Expert — サイバー脅威インテリジェンスとOSINT分析ツールキット。OSINT、CTI、脅威インテリジェンス、デジタルフットプリント、ソーシャルメディア調査、ユーザー名列挙、メールトレース、ドメイン偵察、OPSEC、メタデータ分析、人物検索、ジオロケーション、漏洩チェック、電話番号検索、サブドメイン列挙、事件調査、偵察、デューデリジェンス、画像フォレンジクス、顔検索、ブロックチェーン調査、暗号資産トレース、フライトトラッキング、海運トラッキング、車両検索、ダークネット検索、WiFi SSID ジオロケーション、脆弱性検索、ランサムウェアチェック、M365偵察、Azureテナント列挙に対応します。コマンド：/case、/sweep、/query、/subject、/timeline、/report、/brief、/exposure、/username、/phone、/breach-deep、/vuln-check、/wifi、/flow、/threat-model、/msftrecon。手法：ソーシャルメディアプラットフォーム分析、高度なジオロケーション、ウェブ/DNS フォレンジクス、画像フォレンジクス、ブロックチェーン、輸送トラッキング、ダークネット、人物検索、クラウド監査、インシデント分類、OWASP監査、プロンプトインジェクション監査。作成者：Hieu Ngo - chongluadao.vn
ciso-advisor
成長段階の企業向けセキュリティリーダーシップ。リスクの金銭化、コンプライアンスロードマップの優先順位付け（SOC 2、ISO 27001、HIPAA、GDPR）、セキュリティアーキテクチャ戦略、インシデント対応のリーダーシップ、ベンダーセキュリティ評価、取締役会レベルのセキュリティ報告を提供します。セキュリティプログラムの構築、セキュリティ予算の正当化、コンプライアンスフレームワークの選定、インシデント管理、ベンダーリスク評価、監査準備、またはユーザーがCISO、セキュリティ戦略、コンプライアンス、ゼロトラスト、取締役会向けセキュリティ、リスク評価、インシデント対応、SOC 2、ISO 27001、HIPAA、GDPR、ペネトレーションテスト、脆弱性管理に関わることを述べた場合に利用してください。
create-rule
必要なすべてのコンポーネントを備えたセキュリティルールを新規作成できます
frappe-core-permissions
Frappe/ERPNextの権限システム導入時に活用できます。ロール、ユーザー権限、権限レベル、データマスキング、および権限フック（v14/v15/v16対応）をカバーしています。一般的なアクセス制御の誤りやセキュリティ問題を防止します。対象キーワード：権限、ロール、ユーザー権限、権限レベル、データマスキング、レコード制限、閲覧可能範囲、部門別アクセス、行レベルセキュリティ、ドキュメント非表示、アクセス拒否、アクセス制御、セキュリティ、has_permissionメソッド。
foundry-poc-mainnet-fork
このスキルは、ユーザーがメインネットフォーク上で実際にデプロイされたプロトコルに対するスマートコントラクトの脆弱性を再現するFoundry PoC(概念実証)テストを作成したい場合に使用します。「PoC を書く」「このバグを Foundry で再現する」「メインネットをフォークして悪用する」「この発見をオンチェーンで検証する」といったフレーズや、脆弱性レポートとデプロイ済みコントラクトアドレスが提供されている場合がトリガーとなります。このスキルは、EVM チェーン上のメインネットフォーク・実コントラクト・エンドツーエンドの再現に限定されます。Hardhat テスト、ローカルステート PoC、モックに対するファズ・インバリアントハーネス、または非 EVM チェーン(Solana、Cosmos、Move)には使用しないでください。
kastell
サーバーセキュリティの監査、強化、フリート管理を実現します。SSHやFirewall、Docker、TLS、HTTPヘッダーなど30カテゴリーにわたる457個のセキュリティチェック、CIS/PCI-DSS/HIPAA準拠マッピング、24ステップの本番環境強化、そして13個のMCPツールを備えています。Hetzner、DigitalOcean、Vultr、Linodeに対応し、Coolify、Dokploy、ベアメタルVPSモードをサポートします。インストール：claude plugins add kastell
springboot-security
Java Spring Bootサービスにおける認証・認可、入力検証、CSRF対策、シークレット管理、HTTPヘッダー設定、レート制限、依存関係のセキュリティに関するSpring Securityのベストプラクティスを提供します。これらの実装により、アプリケーションの堅牢なセキュリティ体制を構築できます。
open-tor
Tor暗黒網と.onionの隠れたサービスを検索・アクセスできます。ユーザーが暗黒網の検索、.onionサイトの調査、暗黒網のデータ漏洩確認、onion URLの取得、ランサムウェア集団の追跡、流出認証情報の検索、Torベースのオープンソースインテリジェンス実施、暗黒網活動の監視を要求した場合に使用します。12の検索エンジン、バッチスクレイピング、エンティティ抽出、関連性スコアリング、CSV/JSON/STIX/MISP形式でのエクスポート機能を提供します。ローカルで実行しているTor(socks://127.0.0.1:9050)が必要です。
security-threat-model
ソースコードリポジトリの脅威モデリングワークフロースキルです。ユーザーがリポジトリを基盤とした脅威モデリングを必要とする場合に使用します。信頼境界、資産、攻撃者の能力、悪用パス、および対策を列挙し、簡潔なMarkdown形式の脅威モデルを作成できます。ユーザーがコードベースまたはパスの脅威モデリング、脅威や悪用パスの列挙、またはAppSecの脅威モデリングを依頼する場合に使用してください。一般的なアーキテクチャの概要、コードレビュー、セキュリティベストプラクティス（セキュリティベストプラクティススキルを使用）、またはセキュリティ以外の設計作業には使用しないでください。また、マージまたは引き継ぎ前に、上流ワークフロー、コピーされたサポートファイル、およびプロビナンスを保持する必要があります。
vnsh
ファイルを暗号化された有効期限付きのリンクを通じて安全に共有できます。このスキルを使って、(1)ローカルファイルをアップロードしてセキュアなvnsh.dev URLを取得するか、(2)vnsh.dev URLを読み込んでそのコンテンツを復号化してアクセスできます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスをキー管理、入力値検証、プロンプトインジェクション対策に適用できます。APIキーの保護、Claudeに送信する前のユーザー入力検証、またはコンテンツセーフティガードレールの実装が必要な場合に活用します。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
osint-investigator
OSINT Investigator v2.1 — オープンソースインテリジェンスの包括的なスキルです。OSINT、偵察、デジタルフットプリント、ドーキング、ソーシャルメディア調査、ユーザー名検索、メールトレース、ドメイン調査、エンティティマッピング、OPSEC、画像検証、メタデータ分析、脅威インテリジェンス、人物検索、背景調査など幅広いシーンで活用できます。/dork、/recon、/pivot、/entity、/timeline、/analyze-metadata、/verif-photo、/sock-opsec、/report、/simple-report、/full、/track、/link、/entities、/confidence、/export-entities、/import-entities、/compare、/timeline-entity、/find-path、/visualize、/stats、/export-graph、/risk-score、/anomaly、/pattern、/threat-model、/sanitize、/export-risk、/wizard、/template、/simple-mode、/progress、/save-checkpoint、/load-checkpoint、/qa-check、/coverage、/gaps、/verify-sourcesといったスラッシュコマンドで細かく操作できます。ジャーナリスト向け検証、HR採用調査、サイバー脅威インテリジェンス、民間調査といったプロフェッショナル向けプレイブックも搭載。Maltego、Obsidian、Notionと連携できます。
security-review
オープン・オートノミー・エージェント・サービスのセキュリティレビュー。暗号化キー管理、動的コード実行、ABCI認証とリプレイ攻撃対策、シークレット情報の露出防止、依存関係のサプライチェーン管理、デプロイメント強化に対応します。
container-security-scanner
画像とランタイム環境をスキャンして、CVE（脆弱性）とポリシー違反を検出します。
wstg-conf-05
インフラストラクチャとアプリケーション管理インターフェースを列挙します
memory-forensics
インシデント対応とマルウェア分析のために、メモリダンプから成果物を取得、分析、抽出するための包括的な技術を提供します。
better-auth-skill
Better AuthをJWTで設定し、セキュアな認証を実現します
secops-hunt
脅威を先制的に捜索するためのエキスパートガイダンスです。ユーザーが脅威、IOC（侵害の兆候）、または特定のTTP（戦術・技法・手順）を「捜索」するよう依頼した場合に使用してください。
threat-model
セキュリティに関する重要な機能を実装する前に、STRIDE脅威モデリングを実施します。このアプローチにより、潜在的なセキュリティリスクを体系的に特定・評価することができます。STRIDEは、詐称(Spoofing)、改ざん(Tampering)、否認(Repudiation)、情報漏露(Information Disclosure)、サービス拒否(Denial of Service)、権限昇格(Elevation of Privilege)の6つの脅威カテゴリを対象としています。実装前の早期段階でこの分析を行うことで、設計段階での脆弱性を発見し、本番環境での問題発生を予防できます。
hunt-idor
不正な直接オブジェクト参照（IDOR）および破損したオブジェクトレベル認可（BOLA — OWASP API1:2023）を検出するスキルです。HackerOne、Bugcrowd、Intigriti、GitHub Security Advisories、Huntrの1,117件の公開IDORバグ報奨レポートと、2024～2026年のNVD検証データから構築されています。Sam Curryの自動車チェーン（Kia/Hyundai/Ferrari）、CVE-2026-30956（OneUptime テナントヘッダー回避、CVSS 9.9）、CVE-2025-64431（Zitadel V2Beta Org API）、CVE-2026-32131（Zitadel Management API）、CVE-2025-61876（Inforcer テナント列挙）、CVE-2024-45719（Apache Answer UUIDv1トークン予測）、CVE-2024-50633（Indico BOLA）、GraphQLのフィールドレベル・ネストオブジェクトの脆弱性パターン、エージェントAIのクロステナント関連（FastGPT、WeKnora、Paperclip）などの知見を含みます。Webアプリ、API、GraphQLエンドポイント、マルチテナントSaaS、モバイルアプリ、自動車/IoTプラットフォーム、AI/ML推論サーバーにおけるIDOR/BOLA/クロステナントデータアクセスの検査に使用します。
labeling-compliance-review
医薬品、食品、栄養補助食品、医療機器のFDA表示コンプライアンスレビューを実施します。主表示パネルと情報パネルをFDCA、21 CFR、およびFDAガイダンスに照らし合わせて分析し、不正表示のリスク、クレーム違反、必須表示の漏れを特定します。製品ラベルのレビュー、FDAコンプライアンスの監査、表示リスクの評価、FDA申請準備の際に活用できます。
schemapin
MCPラグプル攻撃を防ぐための暗号ツールスキーマ検証機能です。ECDSA P-256署名、SHA-256ハッシング、TOFUキーピンニング、.well-knownディスカバリー、署名付き失効ドキュメント、署名の有効期限切れ（v1.4-alpha版は全4言語対応）、DNS TXTクロス検証、スキーマバージョンバインディング（系統チェーン）に対応しています。これらの機能により、エージェント間の通信の真正性と完全性を確保し、セキュアな取引環境を実現できます。
adversarial
マルチエージェント対立分析システムによるコードセキュリティ このスキルは、複数のAIエージェントが協力して、コードの潜在的なセキュリティ脆弱性を検出・分析します。異なる視点を持つエージェントが対立的に検証することで、従来の単一分析では見落とされやすい問題を発見できます。コードレビュー、ペネトレーションテスト、セキュリティ監査の各段階で活用でき、本番環境へのデプロイ前に包括的な脅威分析を実施します。開発チームのセキュリティ体制を強化し、インシデント対応のコストを削減できます。
ctf-reverse
CTF逆向工学技術。未知のバイナリファイルの分析が必要なチャレンジ、ゲームクライアントの検証破解、難読化コードの復元、カスタムVMの実行解釈など、様々なシーンで活用できます。Ghidra/IDAによる静的解析、GDB/Fridaによる動的デバッグ、反デバッグ対策の回避、WASM/.NET/APK/Pythonバイトコード/Go/Rustなど複数プラットフォームの逆向工学に対応しています。
cc-proxy-detector
Claude Codeリレーステーションの実際のバックエンド送信元（Anthropic公式 / AWS Bedrock Kiro / Google Vertex AI Antigravity / 偽装疑い）を検出します。ユーザーがリレーステーション経由の送信元を検出したい場合、APIが公式直結かどうかを検証したい場合、リレーステーションの偽装を識別したい場合、複数モデル混合経路をスキャンしたい場合に使用できます。トリガーキーワードは「チャネル検出」「リレー検出」「proxy detect」「チャネル送信元」「公式かどうか」です。
gauge
正規化監査および自己進化型コンプライアンスエージェント。SKILL.mdファイルを16項目のチェックリストで検査し、違反を分類して、実行可能な修正スニペットを生成します。また、Webソースを通じて新しいベストプラクティスを調査・更新することで、継続的にコンプライアンス基準の改善を行います。コード作成は行いません。
clade-security-basics
Anthropic統合のセキュリティ保護 — APIキー管理、入力値検証、プロンプトインジェクション対策、データプライバシーに対応します。セキュリティ基本パターンの実装時にご利用ください。「anthropic security」「claude api key security」「anthropic prompt injection」「secure claude integration」といったキーワードでトリガーされます。
cursor-compliance-audit
Cursor IDEの利用におけるコンプライアンスとセキュリティ監査に対応します。SOC 2、GDPR、HIPAA評価、証拠収集、改善対応を実施できます。「cursor compliance」「cursor audit」「cursor security review」「cursor soc2」「cursor gdpr」「cursor data governance」などのキーワードをトリガーとして動作します。
comply
規制要件への対応と監査を行うAgentです。事業の規制要件（SOC2/PCI-DSS/HIPAA/ISO 27001など）をマッピングし、コントロールの実装状況を確認、監査証跡の設計と実装、およびPolicy as Codeの運用を行います。コンプライアンス監査が必要な場合にご利用ください。
1password-developer
1Passwordの開発者向け機能を使用できます。SSHキー管理、SSHエージェント、シークレット注入用の1Password Environments、op CLIに対応しています。ユーザーが1Password、op CLI、1Password SSHエージェント、1Password Environments、シークレット参照、op run、op inject、1Passwordを通じたSSHキー管理、1Passwordによる.envファイルの保護、実行時のシークレット注入について言及した場合、またはディスク上の平文シークレットの保存を止めたい、開発者認証情報の保護方法について質問する場合に活用できます。
agentuity-cli-auth-login
Agentuity Platformにブラウザベースの認証フローを使用してログインします。認証認証情報の管理に使用します。
jwt-verify
FastAPIでJWT検証ミドルウェアを実装し、ユーザー認証を行えます。APIの保護やトークン処理が必要な場合に利用します。
code-security
現在のプロジェクトに対してSemgrepセキュリティスキャンを実行し、脆弱性、シークレット情報の漏洩、OWASPトップ10の問題を検出します。ユーザーがセキュリティスキャン、脆弱性検出、コード監査、シークレット確認などを依頼した場合、または安全扫描、代码扫描、扫漏洞、安全检查、漏洞检测、扫一下安全といった表現を使用した場合に使用してください。
web2-vuln-classes
18種類のWeb2脆弱性クラスの完全なリファレンスです。根本原因、検知パターン、バイパステーブル、エクスプロイト技法、実際の報酬事例をカバーしています。IDOR、認証回避、XSS、SSRF（11種類のIP迂回技法）、SQLインジェクション、ビジネスロジック欠陥、競合状態、OAuth/OIDC、ファイルアップロード（10種類のバイパス技法）、GraphQL、LLM/AI（ASI01-ASI10エージェンティックフレームワーク）、API設定不備、ATO分類法、SSTI、サブドメイン乗っ取り、クラウド/インフラ設定不備、HTTPスマグリング、キャッシュポイズニングに対応しています。特定の脆弱性クラスを調査する際や、報酬につながるバグの特性を学ぶ際に活用できます。
owasp-ai-testing
OWASP AI Testing Guide v1を使用したAIの信頼性テストです。アプリケーション層、モデル層、インフラストラクチャ層、データ層の4つの層にわたって44個のテストケースを実行します。実践的なペイロードと改善方法により、AIシステムの脆弱性を包括的に検証できます。
perseus-logic
ビジネスロジック、競合状態、およびAIセキュリティ分析
owasp-security
コードのセキュリティ脆弱性を検査したり、認証・認可機能を実装したり、ユーザー入力を処理したり、Webアプリケーションのセキュリティについて検討する場合に使用します。OWASP Top 10:2025、ASVS 5.0、Agentic AIセキュリティ（2026）に対応しています。
1password
1Password CLI（op）のセットアップと使用ができます。CLIのインストール、デスクトップアプリとの連携有効化、サインイン（シングルアカウント/マルチアカウント対応）、またはopを経由したシークレットの読み込み・注入・実行が必要な場合に使用します。
caido-mode
Claude CodeのためのCaido SDK統合機能です。HTTPの履歴検索、リクエストの再実行・編集、スコープ・フィルター・環境の管理、検出結果の作成、curlコマンドのエクスポート、インターセプト制御などが可能です。すべて公式の@caido/sdk-clientを通じて利用でき、認証はPATの使用をお勧めします。
open-redirect
リクエストパラメータ、フォーム入力、またはその他の呼び出し元が制御するソースからURLにユーザーをリダイレクトするコードを書く際に使用します。また、「return to」URLやOAuthコールバックリダイレクトを含むログインフローを構築する際にも活用できます。
domain-investigation
ユーザーがドメインやホスト名の調査、確認、または特性把握をリクエストした場合に使用します。VirusTotal、URLScan（既存スキャン検索）、Shodan（DNS解決＋ホスト情報）、OTX、ransomware.live（被害者ステータス確認）、およびオプションでCensysをチェーン処理します。レピュテーション、解決結果、ホスティングフィンガープリント、ランサムウェア請求ステータス、およびピボット候補を返却します。対象がドメインである場合、/cti-orchestratorによって実行されます。
scammer
詐欺パターンをAIに学習させ、疑わしいメッセージを検出し、現在の段階を特定し、次のステップを予測します。このスキルは、詐欺の手口を分析して機械学習モデルに組み込み、不正な通信や取引の兆候をリアルタイムで識別します。顧客対応やカスタマーサポートの過程で詐欺の進行状況を追跡し、被害を未然に防ぐための予防的対応が可能になります。
iac-scan
Terraform / OpenTofu / Nix / k8sマニフェストの設定ミス検出 — オープンセキュリティグループ、暗号化なし、公開S3/GCS、IAMワイルドカード、平文シークレット、タグ不足などを検出します。IaC PRのレビュー時、`terraform apply` / `tofu apply`のゲート、既存状態のドリフト監査、クラウド設定のコンプライアンスレポート作成時に活用できます。
api
OWASP API Top 10に準拠したAPI セキュリティ監査を実施します。ユーザーが「APIセキュリティをチェックしてほしい」「REST APIを監査してほしい」「BOLA脆弱性を見つけてほしい」「一括割り当てをチェックしてほしい」「APIレート制限を分析してほしい」「過度なデータ露出を検出してほしい」と依頼した場合や、「APIセキュリティ」「BOLA」「IDOR」「一括割り当て」「レート制限」「機能レベルの認可破損」「過度なデータ露出」「OWASP API Top 10」に言及した場合に使用します。/sentinel:apiで実行できます。
review-a11y
アクセシビリティ監査。アクセシビリティ監査ツールを実行して、WCAG適合性のギャップを特定し、ユーザーへの影響度に基づいて優先順位を付け、改善方法を提案します。アドバイザリーのみで、実際の変更は行いません。
f8x-usage
f8xはセキュリティテスト環境の自動デプロイメントツールです。このスキルは、VPS上へのセキュリティツール導入、ペネトレーションテスト・レッドチーム・ブルーチーム環境の構築、f8xコマンドやフラグの使用方法、カタログからのツール検索、およびMCP/AIエージェント統合によるツール導入の自動化に関するご質問にお答えします。また、nuclei、httpx、nmap、subfinder、sqlmap、metasploit、CobaltStrike、Silverなどのセキュリティツール名が言及された場合、またはLinuxサーバーへのセキュリティツール導入に関するご相談の際にも対応します。
wp-security-review
WordPressのセキュリティコード審査と脆弱性検出を実施します。WordPressのPHPコードをセキュリティの観点から審査したい場合、テーマやプラグインの脆弱性を監査したい場合、リリース前にコードを確認したい場合、AJAX/RESTハンドラーの脆弱性を分析したい場合、XSS、SQLインジェクション、CSRF、認可回避などを検出したい場合に使用できます。ユーザーが「セキュリティ審査」「脆弱性」「XSS」「SQLインジェクション」「CSRF」「nonce」「サニタイゼーション」「エスケープ」「権限確認」「権限昇格」「ファイルアップロードセキュリティ」「不安全なコード」「認証回避」「セキュリティ監査」などのキーワードを述べた際にも対応します。入力処理、出力エスケープ、認可、nonce、データベースクエリ、ファイルアップロード、危険な関数における脆弱性を検出できます。
ksubdomain-brute
ksubdomainを使用したステートレスなサブドメイン爆破機能です。極めて高速なサブドメイン爆破と検証が必要な場合に活用できます。ksubdomainはネットワークカードの生ソケットを直接操作してパケット送信を行うため、dnxよりも10倍高速です。検証モードと列挙モードの2つのモードに対応しており、root権限が必要です。高速なサブドメイン爆破や大規模なサブドメイン検証が必要なあらゆるシナリオでこのスキルを使用してください。
red-team
設計ドキュメント、実装計画、コード、PR、ドキュメントなど、あらゆる成果物に対して批判的なレビューが必要な場合に使用します。改善されるか停滞状態に到達するまで、繰り返し検証を行います。
Secret Detection & Prevention
gitleaks、trufflehog、pre-commit hooksなどのツールを使用して、コード内に含まれるシークレット、APIキー、パスワード、トークンの漏洩を自動的に検出・防止します。
agent-guard
AIエージェント向けのリアルタイムプロンプトインジェクション検出・サニタイゼーション機能です。Clinejectionスタイルの攻撃、コマンドインジェクション、悪意あるプロンプト操作から保護します。OpenClawスキルとClaude MCPサーバーの両方として動作します。
implementing-secrets-management-with-vault
このスキルでは、クラウド環境にHashiCorp Vaultをデプロイして、集中管理型のキー管理を実現できます。データベースやクラウドプロバイダー向けの動的キー生成、転送暗号化（Transit Encryption）、PKI証明書管理、Kubernetes統合など、様々な機能に対応しています。短いライフサイクルと自動ローテーション機能を備えたキーを実装することで、アプリケーションコードとCI/CDパイプラインに埋め込まれた認証情報の問題を解決します。
zero-trust-patterns
ゼロトラストセキュリティパターン — マイクロサービス間のmTLS（Istio/SPIFFE）、SPIRE ワークロードアイデンティティ、OPA/Envoy認可、NetworkPolicyのデフォルト拒否設定、短命な認証情報、サービスメッシュセキュリティ、およびKubernetes RBACの強化に対応しています。
TabletopExercise
包括的なサイバーセキュリティ卓上演習の設計・運営フレームワークです。インシデント対応シナリオの設計、経営層・技術層向けの卓上演習の作成、演習実行者向けのアトミックス生成、不足しているSOPやプレイブックの特定、組織の対応能力評価といった場面で活用できます。脅威モデルの統合、CISA準拠の手法論、自動ギャップ分析が含まれています。
owasp-cheatsheets
OWASP Cheat Sheet Series の包括的なスキルで、Webアプリケーションセキュリティ、セキュアコーディングプラクティス、脆弱性対策に関するすべてのOWASP チートシートに直接アクセスできます。認証、認可、インジェクション対策、暗号化、またはOWASP関連のセキュリティガイダンスに関する作業を行う際に使用します。
security-audit
ホストセキュリティ監査スキル 組み込みのシステムツール(netstat、lsof、ss、ufw、systemctl、ps、who、last)を使用して、ホストのセキュリティを監査します。開いているポート、実行中のサービス、リッスンプロセス、ファイアウォールルール、最近のログイン情報を確認できます。外部CLIは不要です。ユーザーが「セキュリティ監査」「開いているポートの確認」「サーバーのセキュリティ強化」「マシンでリッスン中のサービスの確認」などと指示した際に使用します。
compliance-audit
組織やイニシアチブが名指された規制枠組みに対してどの程度コンプライアンス対応できているかを、コントロールレベルで評価します。人間によるレビューの下書きおよび優先順位付けを支援するツールとして機能し、認証意見ではありません。
security-review
コード変更に対する包括的なセキュリティ監査を実施します。認証、認可、ユーザー入力の処理、APIエンドポイント、シークレット/認証情報、決済機能、ファイルアップロードなどを実装する際にこのスキルを活用できます。セキュリティチェックリスト、脆弱性パターン、改善ガイダンスを提供し、実装段階のセキュリティ品質ゲートとして統合されます。
ctf-stego
ステガノグラフィのCTFチャレンジ解法に使用します。画像（PNG/JPG/BMP）、音声（WAV/MP3）、動画、またはテキストに隠された情報を検出・抽出できます。「ctf stego」「steganography」「hidden in image」「audio stego」「lsb」といったキーワードが入力されると自動的に起動します。
analyzing-ransomware-leak-site-intelligence
ランサムウェア犯罪グループのデータ流出サイト（DLS）を監視・分析し、被害者の投稿を追跡します。グループの戦術に関する脅威インテリジェンスを抽出し、業界別のランサムウェアリスクを評価することで、積極的な防御体制を構築できます。
seo-robots-ai
robots.txtファイルを監査して、AI クローラーのアクセスポリシーを確認できます。GPTBot、ClaudeBot、PerplexityBot、Google-Extended、その他のAIクローラーに対する設定をチェックします。ユーザーが「robots AI」「AIクローラー」「AIブロック」「AI ボット許可」「AIクロール ポリシー」などと指示した際にご利用ください。
attack-ent-t1569-001-launchctl
エンタープライズマトリクスにおけるMITRE ATT&CK T1569.001 Launchctlを分析します。TTPトリアージ、検知エンジニアリング、ハンティング、防御的エミュレーション計画、緩和策、インシデント対応マッピング、ATT&CKカバレッジ評価、またはT1569.001、Launchctl、エンタープライズATT&CKに関する質問に活用できます。攻撃者はlaunchctlを悪用してコマンドやプログラムを実行する可能性があります。
deleting-op-secrets
1Password の op CLI を使用して、シークレットを削除またはアーカイブします。ユーザーがアイテムを完全に削除したい場合、廃止された認証情報をアーカイブしたい場合、または 1Password ボルトから未使用のシークレットをクリーンアップしたい場合に使用します。完全削除とアーカイブの両方に対応しており、後で復旧することも可能です。
authentication
認証システムの設計から実装までの完全なライフサイクルを通じて、AIエージェントを導く統合的なエンドツーエンド認証スキルです。ID要件の理解と認証戦略の選定から、認証情報管理、トークン設計、セッション管理、OAuth 2.0/OIDCフロー、多要素認証、API・サービス間認証、アカウント復旧、ブルートフォース攻撃対策、監査ログ、継続的なセキュリティガバナンスまでをカバーします。このスキルは、認証、ID検証、認証情報管理に関するすべてのタスクにおいて、エージェントの中核的な判断枠組みとして機能します。
license-compliance
オープンソースライセンスのコンプライアンスとSPDX標準に対応しています。ライセンスの種類、互換性、license-checkerを用いた監査、SBOMの生成などをカバーします。 【使用する場面】ユーザーが「ライセンス」「SPDX」「GPL」「MIT」「Apache」について言及した場合、または「ライセンス互換性」「license-checker」「コピーレフト」「proprietary対応」「OSI認可」についての質問がある場合 【使用しない場面】依存関係の脆弱性は`supply-chain`を使用、セキュリティスキャンはowasp-top-10を使用、シークレット管理は`secrets-management`を使用してください
solodit
Cyfrin Soloditsから50,000件以上のスマートコントラクト脆弱性を検索できます。インテリジェントキャッシング機能を備えた8つのMCPツールにより、ブロックチェーン関連のセキュリティ調査結果の検索、フィルタリング、分析が可能です。
agent-identity
AIエージェント向けの暗号化認証機能です。オンチェーン上にアイデンティティを登録でき、メッセージの署名、他のエージェントの検証、プラットフォームアカウントの連携ができます。USDCをステイキングすることで、本人確認を行えます。g1itchbotがUSDAC Hackathonで開発しました。
secupdates
tldrsec、no.security、Krebs、Schneierなど複数の情報源からのセキュリティニュースを提供します。セキュリティニュース、セキュリティアップデート、セキュリティ分野の最新情報、データ侵害、セキュリティ研究、セキュリティ更新情報、tldrsec、Krebs、Schneierに関する情報が必要な場合にご利用ください。
grc-compliance
このスキルは、ユーザーが「GRC」「ガバナンス」「リスク」「コンプライアンス」「監査」「ポリシー」「コントロール」「リスク評価」「SOX」「GDPR」、またはServiceNow GRC開発に関する内容について質問する場合に使用します。
implementing-dmarc-dkim-spf-email-security
SPF、DKIM、DMARCはメール認証の3つの重要な要素です。これらを組み合わせることで、ドメイン詐称を防止し、メッセージの完全性を検証し、認証されていないメールの処理ポリシーを定義できます。これらを正しく導入することで、組織のドメイン名を装ったフィッシング攻撃を大幅に削減できます。
logging-powershell-detect
Windows PowerShellのスクリプトブロックログ（イベントID 4104）をEVTXファイルから解析して、難読化されたコマンド、エンコードされたペイロード、生活系技術を検出します。python-evtxを使用して複数ブロックのスクリプトを抽出・再構成し、Base64エンコードコマンド、Invoke-Expression悪用、ダウンロードクレイドル、AMSIバイパス試行に対してエントロピー分析とパターンマッチングを適用します。
android-accessibility-pentest
Androidアクセシビリティサービスのセキュリティ分析およびペネトレーションテストに対応します。ユーザーがAndroidセキュリティテスト、アクセシビリティサービスの悪用、RAT検出、マルウェア分析、ClayRat、PlayPraetor、オーバーレイフィッシング、認証情報の窃取、またはAccessibilityService APIを含むAndroidアプリケーションのセキュリティ評価について言及する場合に活用します。このスキルは悪意あるアクセシビリティサービスの検出、悪用パターンの分析、アクセシビリティベースの攻撃からアプリを強化することができます。
skill-vetter
マルチスキャナセキュリティゲート。以下の場合に動作します：ユーザーがClaudeCode、OpenClaw、またはその他のAIエージェントへのスキルのインストール、追加、または確認について言及した場合。悪意のあるコード、脆弱性、および疑わしいパターンを検出します。
github-archive
GitHub Archive データを BigQuery 経由で利用し、改ざん防止されたデータから GitHub のセキュリティインシデントを調査します。リポジトリのアクティビティ確認、削除されたプルリクエスト・ブランチ・タグ・リポジトリの復旧、アクションの実行者特定、攻撃タイムラインの再構築が必要な場合に使用できます。2011年以降のすべての公開 GitHub イベントについて、改ざん不可能なフォレンジック証跡を提供します。
dependency-health
プロジェクトの依存関係をセキュリティ脆弱性、バージョンの古さ、ライセンス互換性の問題について確認できます。依存関係の確認、パッケージの更新、セキュリティチェックの実行時、またはユーザーが「監査」「脆弱性」「古い」「依存関係」について言及した場合に使用します。
building-secure-contracts
スマートコントラクトおよびセキュアなAPI契約のセキュリティ分析を実施します。インバリアント検査、アクセス制御、リエントランシー、整数オーバーフロー等のパターンに対応します。Checks-Effects-Interactionsパターンの実装、形式的インバリアント検証、OpenSCV脆弱性タクソノミーを用いて、Solidity/EVMおよびRust/Solanaコントラクトを検証します。
reverse-engineer
バイナリ解析、逆アセンブル、デコンパイル、ソフトウェア解析を専門とするリバースエンジニアリング(RE)の専門家です。IDA Pro、Ghidra、radare2、x64dbgなど、最新のREツールチェーンを使いこなします。
core-llm-prompt-security
LLMアプリケーションのコアプロンプト層をレビューし、プロンプトインジェクション、ジェイルブレイク、システムプロンプトの露出、脆弱なガードレール、安全でない出力処理、信頼境界の障害を、あらゆる言語やフレームワークにおいて検出できます。
windows-seimpersonate-privilege-escalation
SeImpersonateを使用してWindows上で高い整合性レベルからSYSTEMへの権限昇格を行うテクニックです。ユーザーがWindowsの権限昇格が必要な場合、トークン偽装、SeImpersonate、または高い整合性コンテキストからSYSTEMとしてコマンド実行したい場合に使用できます。また、管理者アクセス権を持つユーザーがwinlogon.exeやsvchost.exeなどのプロセストークンを偽装したい場合にも活用できます。
agentguard
GoPlus AgentGuard — AIエージェント向けセキュリティガード。危険なコマンドを自動的にブロックし、データ漏洩を防止し、秘密情報を保護します。サードパーティコードのレビュー、スキルの監査、脆弱性の確認、アクションの安全性評価、セキュリティログの確認時に利用できます。
security
セキュリティエンジニアとして機能します。パッケージマネージャーを自動検出し、脆弱性と流出したシークレット情報をスキャンします。修正可能な問題は自動で対応し、その他の問題についてはレポートを提供します。
agency-agentic-identity-trust-architect
複数エージェント環境で動作する自律型AIエージェント向けに、アイデンティティ、認証、信頼検証システムを設計します。エージェントが自身の身元を証明し、何を実行する権限があるのか、そして実際に何を実行したのかを検証できるようにします。
captcha-bypass
認可されたセキュリティテストと侵入テスト中にキャプチャを回避するテクニックです。Webアプリケーションのテスト時にキャプチャの自動化やバイパスが必要な場合に、このスキルを活用できます。侵入テスト、セキュリティ評価、認可された脆弱性スキャンに対応しています。不正アクセスや悪意のある目的での使用はできません。
cybersecurity
現在の機能に対して、高度な攻撃的セキュリティ監査と攻撃シミュレーションを実行します。
tenzir-ocsf
OCSF（Open Cybersecurity Schema Framework）に関する質問にお答えします。ユーザーがOCSFのクラス、オブジェクト、属性、プロファイル、拡張機能、またはイベント正規化について質問した場合に使用します。
file-upload-attacker
ファイルアップロードエンドポイントへの攻撃に対応しており、MIMEスニッフィングバイパス、悪意のあるファイル実行、ファイル名を利用したパストラバーサル、ZIPスリップ、ポリグロットファイル、SVG XSSなどをカバーしています。セキュリティ基準§3.4（ファイルアップロードセキュリティ）に準拠し、WebおよびAPIの主要なサーフェスをテストできます。
SOS
Stronghold of Security: Solana/Anchorスマートコントラクト向けの包括的な敵対的セキュリティ監査を提供します。/SOSコマンドを実行するとはじめ方ガイドが表示され、/SOS:scanコマンドで監査を開始できます。