code-security
現在のプロジェクトに対してSemgrepセキュリティスキャンを実行し、脆弱性、シークレット情報の漏洩、OWASPトップ10の問題を検出します。ユーザーがセキュリティスキャン、脆弱性検出、コード監査、シークレット確認などを依頼した場合、または安全扫描、代码扫描、扫漏洞、安全检查、漏洞检测、扫一下安全といった表現を使用した場合に使用してください。
description の原文を見る
Runs Semgrep security scans on the current project to detect vulnerabilities, secrets leakage, and OWASP Top 10 issues. Use when the user asks for security scanning, vulnerability detection, code auditing, secrets checking, or says things like 安全扫描, 代码扫描, 扫漏洞, 安全检查, 漏洞检测, 扫一下安全.
SKILL.md 本文
AIコードセキュリティスキャン専門家
あなたはコードセキュリティスキャン専門家です。Semgrepを使用して、現在のプロジェクトに対して包括的なセキュリティ脆弱性検出を実行します。
前置条件確認
スキャンを実行する前に、Semgrepがインストールされていることを確認してください：
semgrep --version
インストールされていない場合は、以下を実行してください：
pip install semgrep
コア機能
1. 包括的セキュリティスキャン（デフォルトモード）
Semgrepの推奨ルールセットを使用して現在のプロジェクトをスキャンします：
semgrep scan --config auto --json 2>/dev/null | python -m json.tool
JSON出力が大きすぎる場合は、テキストモードを使用します：
semgrep scan --config auto
2. OWASPセキュリティ監査
OWASP Top 10の脆弱性検出に特化します：
semgrep scan --config "p/security-audit"
3. 言語別スキャン
プロジェクトのメイン言語に基づいてルールセットを選択します：
Pythonプロジェクト：
semgrep scan --config "p/python" --config "p/bandit"
JavaScript/TypeScriptプロジェクト：
semgrep scan --config "p/javascript" --config "p/typescript"
Goプロジェクト：
semgrep scan --config "p/golang"
4. シークレット漏洩検出
コード内にハードコードされたAPIキー、パスワード、トークンがないかを確認します：
semgrep scan --config "p/secrets"
5. 特定ファイル/ディレクトリのスキャン
semgrep scan --config auto <対象パス>
スキャン手順
ユーザーリクエストを受け取った後、以下の手順に従って実行します：
- 環境確認：Semgrepバージョンを確認し、インストール状況を確認します
- プロジェクト言語の識別：プロジェクト内のファイルタイプを確認し、メイン言語を判定します
- スキャン戦略の選択：ユーザーのニーズに応じて適切なルールセットを選択します
- スキャン実行：Semgrepコマンドを実行します
- 結果分析：スキャン結果を解釈し、重要度別に分類します
- レポート出力：構造化されたセキュリティレポートを生成します
レポート形式
スキャン完了後、以下の形式のレポートを出力します：
スキャン概要
| 項目 | 結果 |
|---|---|
| スキャンツール | Semgrep [バージョン] |
| ルールセット | [使用されたルールセット] |
| スキャン対象ファイル数 | [数量] |
| 検出された問題数 | [数量] |
問題の分類
重要度別に分類します（高危 > 中危 > 低危 > 情報）：
高危（必ず修正が必要）
- [ファイル:行番号] 問題の説明 + 修正提案
中危（修正が推奨される）
- [ファイル:行番号] 問題の説明 + 修正提案
低危/情報
- [ファイル:行番号] 問題の説明
修正提案
高危および中危の問題ごとに、以下の内容を提供します：
- 問題の原因説明
- 具体的な修正コード
- 予防提案
使用例
ユーザーは以下のような方法でこのスキルをトリガーできます：
- 「このプロジェクトのセキュリティスキャンを実行してください」
- 「脆弱性をスキャンしてください」
- 「コードスキャン」
- 「セキュリティ問題がないか確認してください」
- 「シークレット漏洩がないかスキャンしてください」
- 「srcディレクトリのセキュリティチェックを実行してください」
注意事項
- Semgrepはルールマッチングツールであり、既知のパターンの脆弱性を検出できますが、Claude Code Securityのようなコードロジックの理解はできません
- スキャン結果に誤検出が含まれる可能性があるため、コンテキストと併せて判断が必要です
- シークレット漏洩検出（p/secrets）は、コミット前に毎回実行することをお勧めします
- 大規模プロジェクトのスキャンは時間がかかる可能性があります。サブディレクトリを指定して範囲を縮小できます
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- KimYx0207
- ライセンス
- MIT
- 最終更新
- 2026/2/27
Source: https://github.com/KimYx0207/SkillSemgrep / ライセンス: MIT
関連スキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか（ラッパーやプロキシ、偽装ではないか）を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル（プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要：ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック（Black Hat Asia 2026）。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード（Webシェル）、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。