ecc-tools-cost-audit
ECC ツールの燃焼コストおよび請求を証拠優先で監査するワークフロー。ECC ツールリポジトリにおける無制限の PR 作成、クォータ回避、上位モデルの漏洩、重複ジョブ、または GitHub App のコスト急増を調査する際に使用します。
description の原文を見る
证据优先的ECC工具燃烧和计费审计工作流。用于调查ECC工具仓库中的失控PR创建、配额绕过、高级模型泄漏、重复作业或GitHub App成本激增。
SKILL.md 本文
ECC ツール コスト監査
ユーザーが ECC Tools GitHub App がコストを消費している、過度に PR を作成している、使用制限を回避している、または無料ユーザーを有料分析パスに導いていると疑う場合、このスキルを使用します。
これは兄弟リポジトリ ECC-Tools を対象とした焦点的なオペレーターワークフローです。汎用の請求スキルではなく、リポジトリ範囲のコードレビューでもありません。
スキルスタック
関連する状況では、これらの ECC ネイティブスキルをワークフローに組み込みます:
autonomous-loops- webhook、キュー、請求、リトライ全体の境界付き多段階監査用agentic-engineering- リクエストパスを個別の証明可能な単位として追跡するためcustomer-billing-ops- リポジトリ動作と顧客影響計算の明確な分離が必要な場合search-first- ヘルパー関数を発明またはリポジトリローカルツールを再実装する前にsecurity-review- 認証、使用制限、認可、キーが関わる場合verification-loop- リトライ安全性と修正後の正確な状態を証明するためtdd-workflow- worker、ルーター、請求パスに回帰テストカバレッジを追加する必要がある場合
使用時機
- ユーザーが ECC Tools の消費率、PR 再帰、過度な PR 作成、使用制限回避、または有料モデルリークについて言及する場合
- タスクが兄弟リポジトリ
ECC-Toolsにあり、webhook ハンドラ、キュー worker、使用予約、PR 作成ロジック、または有料ゲートウェイ強制に依存している場合 - 顧客が、アプリが過多の PR を作成した、請求エラーが発生した、またはコードを分析したがユーザー可能な結果が生成されなかったと報告している場合
スコープ制約
- 兄弟リポジトリ
ECC-Toolsで作業し、everything-claude-codeでは作業しない - ユーザーが明示的に修正を要求しない限り、読み取り専用モードで開始する
- 分析消費を追跡する際、無関係な請求、チェックアウト、UI フローを修正しない
- アプリ生成ブランチとアプリ生成 PR を赤旗再帰パスとして扱う。ただし、そうでないことが証明されている場合を除く
- 以下の3つを明確に区別する:
- リポジトリ側消費の根本原因
- 顧客向け請求への影響
- バックログ追跡に含める必要があるプロダクトまたは認可ギャップ
ワークフロー
1. リポジトリスコープをロック
- 兄弟リポジトリ
ECC-Toolsに切り替える - まずブランチとローカル差分を確認する
- 監査の具体的スコープを決定する:
- webhook ルーター
- キュー プロデューサー
- キュー コンシューマー
- PR 作成パス
- 使用予約 / 請求パス
- モデルルーティングパス
2. 理論化の前にエントリを追跡
- 最初に
src/index.*またはメインエントリポイントを確認する - 修正を提案する前に、各キュー入れ込みパスをマッピングする
- どの GitHub イベントが同じキュータイプを共有しているかを確認する
- push、pull_request、synchronize、comment、または手動再実行イベントが同じ高コストパスに集約されるかどうかを確認する
3. Worker と副作用を追跡
- 分析を処理するキュー コンシューマーまたは定時 worker を確認する
- キューに入れられた分析が常に以下で終わるかどうかを確認する:
- PR 作成
- ブランチ作成
- ファイル更新
- 有料モデル呼び出し
- 使用量増加
- 分析がトークンを消費してから出力永続化前に失敗する可能性がある場合、それを「消費したが出力破損」として分類する
4. 高信号消費パスを監査
PR 倍増
- PR ヘルパー関数とブランチ命名を確認する
- 重複排除、synchronize イベント処理、既存 PR の再利用を確認する
- アプリ生成ブランチが分析に再度入る可能性がある場合、それを優先度 0 の再帰リスクとして扱う
クォータ回避
- クォータチェック位置と使用予約または増加位置を確認する
- キュー前にクォータをチェックするが、worker 内部でのみ使用量を計費する場合、並行フロント通過を真の競合状態として扱う
有料モデルリーク
- モデル選択、階層分岐、プロバイダルーティングを確認する
- 有料キーが存在する場合、無料またはアクセス制限ユーザーが有料分析器にアクセスできるかどうかを検証する
リトライ消費
- リトライループ、重複キュータスク、決定論的失敗リトライを確認する
- 同じ一時的でないエラーが反復的に分析リソースを消費できる場合、品質改善前にこれを修正する
5. 消費順に修正
ユーザーがコード変更を要求する場合、以下の順序で修正を優先する:
- 自動 PR 倍増をブロック
- クォータ回避をブロック
- 有料モデルリークをブロック
- 重複タスク扇出と無意味なリトライをブロック
- リトライ/更新安全性ギャップを埋める
同じ根本原因が明らかに複数のファイルにまたがっていない限り、修正スコープを1~3つの直接修正に制限する。
6. 最小限の検証ステップで検証
- 変更されたパスをカバーする対象テストまたは統合スニペットのみを再実行する
- 消費パスが現在以下のいずれかであるかを検証する:
- ブロックされている
- 重複排除されている
- より安価な分析にダウングレードされている
- または早期に拒否されている
- 最終状態を正確に述べる:
- ローカル変更済み
- ローカル検証済み
- プッシュ済み
- デプロイ済み
- まだブロック中
高信号障害モード
1. すべてのトリガーが同じキュータイプを使用
push、PR 同期、手動監査がすべて同じタスクをキューイングし、worker が常に PR を作成する場合、分析は PR スパムと同等です。
2. キュー後に使用量を予約
エントリで使用量をチェックするがworker でのみ増やす場合、並行リクエストすべてがゲートを通過して配額を超える可能性があります。
3. 無料階層が有料パスを通過
キーが存在する場合、無料キュータスクが Anthropic またはその他の有料プロバイダーにルーティングされ、顧客が有料結果を見ることがなくても、これは真の支出リークです。
4. アプリ生成ブランチが Webhook に再度入る
pull_request.synchronize、ブランチプッシュ、またはコメントでトリガーされた実行がアプリ所有ブランチで発生する場合、アプリは自身の出力を再帰的に分析できます。
5. 永続化安全前に高コスト操作を実行
システムがトークンを消費してから PR 作成、ファイル更新、またはブランチ競合で失敗する可能性がある場合、これは価値を生成せずにコストを消費しています。
よくある落とし穴
- 最初から広くリポジトリを閲覧しないこと。webhook → キュー → worker パスを最初に確立する
- 顧客請求推論とコードベース製品事実を混在させないこと
- 最高消費パスが制御されるまで、低価値の品質問題を修正しないこと
- 狭い検証ステップを再実行する前に、消費問題が修正されたと主張しないこと
- ユーザーが要求しない限り、プッシュまたはデプロイしないこと
- 無関係なリポジトリローカル変更が進行中の場合、これらに触れないこと
検証
- 根本原因は正確なファイルパスとコード領域を参照する必要がある
- 修正はコード整潔性ではなく、消費影響に基づいてソートされている
- 検証コマンド名を示す
- 最終状態はローカル変更、検証、プッシュ、デプロイを区別する
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- affaan-m
- ライセンス
- MIT
- 最終更新
- 不明
Source: https://github.com/affaan-m/everything-claude-code / ライセンス: MIT
関連スキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか(ラッパーやプロキシ、偽装ではないか)を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル(プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング)、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要:ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック(Black Hat Asia 2026)。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード(Webシェル)、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。