セキュリティレビュー

AI 搭載のセキュリティスキャナで、人間のセキュリティ研究者のような方法でコードベースを分析します — データフロー追跡、コンポーネント相互作用の理解、パターンマッチングツールでは見落とされる脆弱性の検出を行います。

このスキルを使う場面

以下の内容を含むリクエストで使用してください:

• コードベースまたはファイルのセキュリティ脆弱性スキャン
• セキュリティレビューまたは脆弱性チェックの実行
• SQL インジェクション、XSS、コマンドインジェクション、その他のインジェクションフロー の確認
• 公開されている API キー、ハードコードされたシークレット、認証情報の検出
• 既知の CVE について依存関係を監査
• 認証、認可、アクセス制御ロジックのレビュー
• 不安定な暗号化や弱い乱数生成の検出
• ユーザー入力を危険なシンク (sink) までたどるデータフロー分析
• 「このコードは安全ですか?」「このファイルをスキャンしてください」「脆弱性をチェックしてください」など、このような表現
• /security-review または /security-review <path> の実行

このスキルの仕組み

従来の静的分析ツールがパターンマッチングを行うのとは異なり、このスキルは:

1. セキュリティ研究者のようにコードを読む — コンテキスト、意図、データフローを理解
2. ファイル間を追跡する — ユーザー入力がアプリケーション全体でどのように移動するかを追跡
3. 結果を自己検証する — 各結果を再検査して誤検知をフィルタリング
4. 重大度レーティングを割り当てる — CRITICAL / HIGH / MEDIUM / LOW / INFO
5. ターゲット化されたパッチを提案する — すべての検出結果に具体的な修正が含まれる
6. 人間の承認が必要 — 自動適用されることはなく、常にレビューします

実行ワークフロー

毎回、以下のステップを 順番に 従ってください:

ステップ 1 — スコープ解決

スキャン対象を決定します:

• パス（/security-review src/auth/）が指定されている場合、そのスコープのみをスキャン
• パスが指定されていない場合、ルートから始めて プロジェクト全体 をスキャン
• 使用されている言語とフレームワークを識別（package.json、requirements.txt、go.mod、Cargo.toml、pom.xml、Gemfile、composer.json などを確認）
• references/language-patterns.md を読んで、言語固有の脆弱性パターンをロード

ステップ 2 — 依存関係監査

ソースコードをスキャンする前に、まず依存関係を監査します（迅速な成果):

• Node.js: package.json + package-lock.json で既知の脆弱なパッケージをチェック
• Python: requirements.txt / pyproject.toml / Pipfile をチェック
• Java: pom.xml / build.gradle をチェック
• Ruby: Gemfile.lock をチェック
• Rust: Cargo.toml をチェック
• Go: go.sum をチェック
• 既知の CVE、廃止された暗号ライブラリ、または疑わしく古いピンバージョンを持つパッケージにフラグを付ける
• references/vulnerable-packages.md を読んで、キュレーション済みのウォッチリストを確認

ステップ 3 — シークレット & 露出スキャン

すべてのファイル (config、env、CI/CD、Dockerfiles、IaC を含む) をスキャンして以下を検出:

• ハードコードされた API キー、トークン、パスワード、秘密鍵
• 誤ってコミットされた .env ファイル
• コメントやデバッグログ内のシークレット
• クラウド認証情報（AWS、GCP、Azure、Stripe、Twilio など）
• 埋め込まれた認証情報を含むデータベース接続文字列
• references/secret-patterns.md を読んで、適用するための正規表現パターンとエントロピーヒューリスティックを確認

ステップ 4 — 脆弱性詳細スキャン

これはコアスキャンです。コードについて推論します — パターンマッチングだけに頼らないでください。 各カテゴリーの詳細は references/vuln-categories.md を読んでください。

インジェクションフロー

• SQL インジェクション: 文字列補間を使用した生クエリ、ORM の悪用、二次 SQLi
• XSS: エスケープされていない出力、dangerouslySetInnerHTML、innerHTML、テンプレートインジェクション
• コマンドインジェクション: ユーザー入力による exec/spawn/system
• LDAP、XPath、Header、ログインジェクション

認証 & アクセス制御

• 機密エンドポイントでの認証欠落
• 破損されたオブジェクトレベルの認可（BOLA/IDOR）
• JWT の脆弱性 (alg:none、弱いシークレット、有効期限検証なし)
• セッション固定、CSRF 保護欠落
• 権限昇格パス
• 大量割り当て / パラメータ汚染

データ処理

• ログ、エラーメッセージ、API レスポンス内の機密データ
• 保存時または転送時の暗号化欠落
• 不安全な逆シリアル化
• パストラバーサル / ディレクトリトラバーサル
• XXE（XML 外部エンティティ）処理
• SSRF（サーバーサイドリクエストフォージェリ）

暗号化

• セキュリティ目的で MD5、SHA1、DES を使用
• ハードコードされた IV またはソルト
• 弱い乱数生成 (トークンの Math.random())
• TLS 証明書検証欠落

ビジネスロジック

• 競合状態 (TOCTOU)
• 金融計算での整数オーバーフロー
• 機密エンドポイントでのレート制限欠落
• 予測可能なリソース識別子

ステップ 5 — クロスファイルデータフロー分析

ファイルごとのスキャン後、全体的なレビュー を実施します:

• ユーザーが制御する入力をエントリーポイント（HTTP パラメータ、ヘッダー、ボディ、ファイルアップロード）からシンク（DB クエリ、exec 呼び出し、HTML 出力、ファイル書き込み）まで追跡
• 複数のファイルを一緒に見ることでのみ表示される脆弱性を特定
• サービスまたはモジュール間の不安全な信頼境界をチェック

ステップ 6 — 自己検証パス

それぞれの検出結果について:

1. 新鮮な目で関連するコードを再読
2. 「これは実際に悪用可能ですか、または見落とした サニタイゼーションがありますか?」と質問
3. フレームワークまたはミドルウェアがこれを上流で既に処理しているかを確認
4. 本当の脆弱性ではない検出結果をダウングレードまたは破棄
5. 最終的な重大度を割り当てる: CRITICAL / HIGH / MEDIUM / LOW / INFO

ステップ 7 — セキュリティレポートを生成

references/report-format.md で定義されているフォーマットで完全なレポートを出力します。

ステップ 8 — パッチを提案

すべての CRITICAL および HIGH 検出結果について、具体的なパッチを生成します:

• 脆弱なコード（修正前）を表示
• 修正されたコード（修正後）を表示
• 何が変わったか、なぜかを説明
• 元のコードスタイル、変数名、構造を保持
• インラインで修正を説明するコメントを追加

明示的に述べる: 「パッチを適用する前に確認してください。まだ何も変更されていません。」

重大度ガイド

重大度	意味	例
🔴 CRITICAL	即座の悪用リスク、データ漏洩の可能性高	SQLi、RCE、認証バイパス
🟠 HIGH	深刻な脆弱性、悪用パスが存在	XSS、IDOR、ハードコードされたシークレット
🟡 MEDIUM	条件付きまたはチェーニングで悪用可能	CSRF、オープンリダイレクト、弱い暗号化
🔵 LOW	ベストプラクティス違反、直接的なリスクは低い	詳細なエラー、ヘッダー欠落
⚪ INFO	注目に値する観察、脆弱性ではない	古い依存関係（CVE なし）

出力ルール

• 常に 最初に重大度別の検出結果サマリーテーブルを作成
• 決して パッチを自動適用しない — 人間がレビューするためにパッチを提示
• 常に 検出結果ごとに信頼レーティングを含める（High / Medium / Low）
• 検出結果をグループ化 — ファイルごとではなく、カテゴリーごと
• 具体的に — ファイルパス、行番号、正確な脆弱なコードスニペットを含める
• 平易な英語でリスクを説明 — 攻撃者はこれで何ができますか?
• コードベースがクリーンな場合は、明確に述べる: 「脆弱性が見つかりませんでした」スキャン内容を含める

リファレンスファイル

詳細な検出ガイダンスについては、必要に応じて以下のリファレンスファイルをロードしてください:

• references/vuln-categories.md — すべての脆弱性カテゴリーの詳細リファレンス、検出シグナル、安全なパターン、エスカレーションチェッカー付き
  • 検索パターン: SQL injection、XSS、command injection、SSRF、BOLA、IDOR、JWT、CSRF、secrets、cryptography、race condition、path traversal
• references/secret-patterns.md — 正規表現パターン、エントロピーベースの検出、CI/CD シークレットリスク
  • 検索パターン: API key、token、private key、connection string、entropy、.env、GitHub Actions、Docker、Terraform
• references/language-patterns.md — JavaScript、Python、Java、PHP、Go、Ruby、Rust のフレームワーク固有の脆弱性パターン
  • 検索パターン: Express、React、Next.js、Django、Flask、FastAPI、Spring Boot、PHP、Go、Rails、Rust
• references/vulnerable-packages.md — npm、pip、Maven、Rubygems、Cargo、Go モジュール向けキュレーション済み CVE ウォッチリスト
  • 検索パターン: lodash、axios、jsonwebtoken、Pillow、log4j、nokogiri、CVE
• references/report-format.md — 検出結果カード、依存関係監査、シークレットスキャン、パッチ提案フォーマット付きセキュリティレポートの構造化出力テンプレート
  • 検索パターン: report、format、template、finding、patch、summary、confidence