Agent Skills by ALSEL
Anthropic Claudeセキュリティ⭐ リポ 0品質スコア 50/100

check

SPEC.mdと現在のコードを差分比較し、違反事項を重大度別にグループ化してレポートする読み取り専用のドリフト検出スキルです。コードへの書き込みは一切行わず、specやbuildスキルによる修正方法を提案するのみです。「check drift」「audit the spec」「does the code still match §V」「check invariants」「spec vs code」といったフレーズでトリガーされます。

description の原文を見る

| Read-only drift detector. Diffs SPEC.md against current code and reports violations grouped by severity. Writes nothing — suggests remedies via the spec or build skills but never invokes them. Triggers when the user asks to check drift, audit the spec, verify invariants, or ask whether code still matches the spec. Phrasings: "check drift", "audit the spec", "does the code still match §V", "check invariants", "spec vs code".

SKILL.md 本文

check — ドリフトレポート

純粋な診断。違反を報告します。何も書き込みません。ユーザーが改善策を決定します。

LOAD

  1. SPEC.md を読み取ります。欠落している場合 → "no spec, nothing to check." 停止。
  2. 呼び出し引数を解析します:
    • §V → 不変式のみをチェック (デフォルト)
    • §I → インターフェースをチェック
    • §T → タスク状態とコードを監査
    • --all → 3 つすべて

CHECK §V — 不変式

各 V<n> について:

  1. 不変式をコードについての検証可能な主張に変換します。
  2. 関連ファイルを Grep/読み取ります。
  3. 分類: HOLD / VIOLATE / UNVERIFIABLE
  4. アドレス + file:line の証拠を記録します。

CHECK §I — インターフェース

各 I アイテムについて:

  1. 実装を特定します。
  2. 分類:
    • MATCH — コード内のシェイプ = spec 内のシェイプ。
    • DRIFT — 実装が存在する、シェイプが異なる。
    • MISSING — 実装が欠落している。
    • EXTRA — コードが §I にはない外部インターフェースを公開している。

CHECK §T — タスク

各 T<n> について:

  1. x の場合: 主張された作業が存在することを検証します。
  2. ~ の場合: 進行中として注記します。
  3. . の場合: 保留中として注記します。
  4. 証拠がない x 行に STALE のフラグを付けます。

REPORT

シンプル。重大度でグループ化。

## §V drift
V2 VIOLATE: auth/mw.go:47 uses `<` not `≤`. see §B.1.
V5 UNVERIFIABLE: no test covers ∀ req path.

## §I drift
I.api DRIFT: POST /x returns `{result}` not `{id}`. route.go:112.
I.cmd MISSING: `foo bar` absent from cli/*.go.

## §T drift
T3 STALE: status `x`, no middleware file exists.

## summary
2 violate. 1 missing. 1 stale. 1 unverifiable.
next: spec skill with `bug:` or fix code at cited lines.

改善策ヒント (アクションではなく)

レポートの最後に、クラスごとの 1 行のヒントを追加:

  • VIOLATE / DRIFT → spec スキル bug: <V.n> を呼び出すか、cited 行でコードを修正。
  • MISSING → タスクが存在する場合は §T.n 上でビルドスキルを呼び出し; そうでなければ spec スキル amend §T
  • STALE → spec スキル amend §T でチェックを外す。
  • EXTRA → §I を文書化する spec スキル amend §I を呼び出すか、コードを削除。

決して修正を呼び出さないでください。レポートのみ。

非目標

  • ゼロ書き込み。SPEC.md の編集なし。コード編集なし。
  • サブエージェントなし。メインスレッド読み取り。
  • スコア、グレードなし。アイテムごとにバイナリ: 保持またはドリフト。

ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ

詳細情報

作者
juliusbrussee
リポジトリ
juliusbrussee/cavekit
ライセンス
MIT
最終更新
不明

Source: https://github.com/juliusbrussee/cavekit / ライセンス: MIT

関連スキル

Anthropic Claudeセキュリティ⭐ リポ 8,981

secure-code-guardian

認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。

by Jeffallan
汎用セキュリティ⭐ リポ 1,982

claude-authenticity

APIエンドポイントが本物のClaudeによって支えられているか(ラッパーやプロキシ、偽装ではないか)を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。

by LeoYeAI
Anthropic Claudeセキュリティ⭐ リポ 2,159

anth-security-basics

Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。

by jeremylongshore
汎用セキュリティ⭐ リポ 699

x-ray

x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル(プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング)、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。

by pashov
汎用セキュリティ⭐ リポ 677

semgrep

Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要:ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。

by wimpysworld
汎用セキュリティ⭐ リポ 591

ghost-bits-cast-attack

Java「ゴーストビッツ」/キャストアタック プレイブック(Black Hat Asia 2026)。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード(Webシェル)、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。

by yaklang
本サイトは GitHub 上で公開されているオープンソースの SKILL.md ファイルをクロール・インデックス化したものです。 各スキルの著作権は原作者に帰属します。掲載に問題がある場合は info@alsel.co.jp または /takedown フォームよりご連絡ください。
原作者: juliusbrussee · juliusbrussee/cavekit · ライセンス: MIT