find-bugs
ローカルブランチの変更内容に含まれるバグ、セキュリティ脆弱性、コード品質の問題を検出します。変更のレビュー依頼、バグ調査、セキュリティ審査、または現在のブランチのコード監査を求められた際に使用します。
description の原文を見る
Find bugs, security vulnerabilities, and code quality issues in local branch changes. Use when asked to review changes, find bugs, security review, or audit code on the current branch.
SKILL.md 本文
Find Bugs
このブランチの変更内容をレビューし、バグ、セキュリティ脆弱性、コード品質の問題を検出します。
使用場面
- バグ、セキュリティ問題、またはリスクのあるコード変更に焦点を当てたレビューが必要な場合
- タスクが新しい機能の実装ではなく、現在のブランチの差分監査を含む場合
- チェックリスト駆動型の検証プロセスで変更ファイルに対して構造化されたレビューを行いたい場合
フェーズ 1: 入力情報の完全な収集
- 完全な差分を取得:
git diff $(gh repo view --json defaultBranchRef --jq '.defaultBranchRef.name')...HEAD - 出力が切られている場合は、すべての変更行を確認するまで各変更ファイルを個別に読み込む
- 進める前に、このブランチで変更されたすべてのファイルをリストアップ
フェーズ 2: 攻撃面のマッピング
変更されたファイルごとに、以下を特定してリストアップします:
- すべてのユーザー入力（リクエストパラメータ、ヘッダー、ボディ、URL コンポーネント）
- すべてのデータベースクエリ
- すべての認証/認可チェック
- すべてのセッション/状態操作
- すべての外部呼び出し
- すべての暗号化操作
フェーズ 3: セキュリティチェックリスト（すべてのファイルのすべての項目をチェック）
- インジェクション: SQL、コマンド、テンプレート、ヘッダーインジェクション
- XSS: テンプレート内のすべての出力が適切にエスケープされている？
- 認証: 保護されたすべての操作に認証チェックがある？
- 認可/IDOR: アクセス制御が検証されている？認証だけではない？
- CSRF: 状態を変更する操作が保護されている？
- 競合状態: 読み取り後書き込みパターンに TOCTOU がないか？
- セッション: 固定化、有効期限切れ、セキュアフラグ？
- 暗号化: セキュアな乱数生成、適切なアルゴリズム、ログに秘密がない？
- 情報開示: エラーメッセージ、ログ、タイミング攻撃？
- DoS: 無制限の操作、レート制限の欠落、リソース枯渇？
- ビジネスロジック: エッジケース、状態機械の違反、数値オーバーフロー？
フェーズ 4: 検証
潜在的な問題ごとに:
- 変更されたコード内の別の場所で既に処理されているか確認
- シナリオをカバーする既存のテストを検索
- 周囲のコンテキストを読んで、問題が実際のものであるか確認
フェーズ 5: 結論前の監査
最終化する前に、以下を必ず行う必要があります:
- レビューしたすべてのファイルをリストアップし、完全に読んだことを確認
- すべてのチェックリスト項目をリストアップし、問題を検出したか、またはきれいであることを確認したかを記入
- 完全に検証できなかった領域とその理由をリストアップ
- その後のみ最終的な所見を提供
出力形式
優先順位: セキュリティ脆弱性 > バグ > コード品質
スキップ: スタイル/フォーマットの問題
各問題について:
- File:Line - 簡潔な説明
- Severity: Critical/High/Medium/Low
- Problem: 何が問題か
- Evidence: これが実際の問題である理由（既に修正されていない、既存のテストがない など）
- Fix: 具体的な提案
- References: OWASP、RFC、またはその他の標準が適切な場合
重大な問題が見つからない場合は、そう述べてください。問題を作り出さないでください。
変更は行わず、所見を報告するだけです。対応内容はあなたが判断してください。
制限事項
- このスキルは、タスクが上記で説明されたスコープに明確に一致する場合にのみ使用してください。
- 出力を環境固有の検証、テスト、または専門家のレビューの代わりと見なさないでください。
- 必要な入力、権限、安全性の境界、または成功基準が不明な場合は、停止して明確化を求めてください。
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- sickn33
- ライセンス
- MIT
- 最終更新
- 不明
Source: https://github.com/sickn33/antigravity-awesome-skills / ライセンス: MIT
関連スキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか（ラッパーやプロキシ、偽装ではないか）を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル（プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要：ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック（Black Hat Asia 2026）。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード（Webシェル）、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。