TOPY.AI · AI CSO

---

AI CSO は目標を最優先にします。5 つの継続的な目標を維持します。未解決の重大な露出をなくすこと（CISA KEV に掲載されたもの、または修正プログラムのある重大な脆弱性は、数日以内に修正します）、コード内のシークレットをゼロにすること、検証済みの対象のみをアクティブにチェックすること、未審査のものを信頼しないこと（新しいスキル、MCP サーバー、パッケージはすべて、まずチェックします）、そしてすべてのインシデントにタイムラインを作成することです。以下の各スキルは、これらの目標のいずれかを達成するためにあります。

• コア（topy-ai-cso）：接続、初期設定（インベントリ、ドメイン検証、ホストの同意）、CSO の目標、日次監視。
• 脆弱性：この CVE の影響を受けるか、依存関係とサプライチェーン、サポート終了、インストール前のパッケージ審査。
• コード：シークレット（まずローテーションし、その後削除）、安全でないコードパターン、STRIDE 脅威モデル、OWASP ASVS チェックリスト。
• ウェブ：ドメイン検証、ヘッダーと TLS、検証済みサイトの安全なスキャン。
• エージェント：インストール前のスキルまたは MCP サーバーの審査（App Factory のゲート）、独自の MCP サーバーの監査。
• 対応：インシデントのタイムライン、修正リスクレベル T1～T4 に基づく修正計画、週次セキュリティレポート。

安全モデルは Maggie Security に基づいており、例外はありません。CSO はサーバー、ファイアウォール、ウェブサイトを決して変更しません（修正計画と保護計画は、人が確認して適用するためのものです）。検証していないドメインをスキャンしません。あなた自身がターミナルで同意を付与した後にのみサーバーを読み取ります（エージェントは同意を付与できません）。管理していないサイトのチェックは人に任せ（定期的には実行しません）、攻撃的な手法は一切使わず、シークレットを決して表示しません。変更には 2 回の呼び出しが必要です。プレビューを行い、その後にあなたが承認します。

インストール

npx @topy-ai/cso-skills install                  # this project, for the agents set up here
npx @topy-ai/cso-skills install -g --mcp         # your user, plus the MCP server
npx @topy-ai/cso-skills install --category vulnerabilities,web
npx @topy-ai/cso-skills list

Claude Code プラグイン：/plugin marketplace add TOPY-AI-LTD/TOPY-AI-CSO-Skills、続けて /plugin install topy-ai-cso-all@topy-ai-cso。 Codex：codex plugin marketplace add TOPY-AI-LTD/TOPY-AI-CSO-Skills。Pi：pi install npm:@topy-ai/cso-skills。 インストーラーの READMEをご覧ください。

TOPY.AI に接続する

https://topy.ai/mcp/cso — TOPY.AI アカウントで OAuth 認証します（AI CEO、CFO、COO と同じアカウントです）。OneMan の運営を所有するアカウントのみ、その調査結果を閲覧できます。

クライアント	方法
Claude、ChatGPT（ウェブ、デスクトップ）	カスタムコネクター https://topy.ai/mcp/cso
Claude Code	claude mcp add --transport http topy-cso https://topy.ai/mcp/cso
Codex	codex mcp add topy-cso --url https://topy.ai/mcp/cso
コマンドのみを起動するクライアント	npx -y @topy-ai/cso-mcp（事前に npx @topy-ai/cso-mcp login を実行）
ターミナルとスクリプト	npm i -g @topy-ai/cso-cli && cso-cli login

サーバーチェック（host-quick、host-audit）と、管理していないサイトのパッシブチェック（public-check）は topy.ai 上では実行できません。OneMan で担当者がターミナルからホストへの同意を付与する必要があります。

スキルの連携方法

topy-cso-connect ─▶ topy-cso-setup (inventory · domain verify · consent) ─▶ topy-cso-goals
        │
   daily 06:17: topy-cso-daily-watch ─▶ topy-cso-cve-response ─▶ topy-cso-incident ─▶ topy-cso-fix-plan
        │                               topy-cso-dependencies · topy-cso-end-of-life
   weekly Mon 07:23: topy-cso-weekly-report ─▶ the founder (email) and the CEO
        │
   before code ships: topy-cso-secrets · topy-cso-code-scan · topy-cso-threat-model
   web (verified domains): topy-cso-domain-verify ─▶ topy-cso-web-checks ─▶ topy-cso-web-scan
   before you trust it: topy-cso-package-vet · topy-cso-vet-skill · topy-cso-mcp-audit

次のように尋ねてみてください：「新たに注意すべきことはありますか？」、「CVE-2026-…の影響を受けていますか？」、「重要な情報が漏えいしましたか？」、 「この MCP サーバーを安全にインストールできますか？」、「週次セキュリティレポートを送ってください」

パッケージ

パッケージ	内容
@topy-ai/cso-skills	インストーラー（Claude Code、Codex、Pi、Cursor、Gemini CLI、…）
@topy-ai/cso-mcp	ローカルの stdio サーバーとして動作する CSO MCP サーバー（https://topy.ai/mcp/cso に転送）
@topy-ai/cso-cli	コマンドラインで利用する AI CSO

リポジトリ構成

plugins/
  topy-ai-cso/                   core skills + .mcp.json (Claude Code) and mcp.json (Codex)
  topy-ai-cso-vulnerabilities/   topy-ai-cso-code/   topy-ai-cso-web/
  topy-ai-cso-agents/            topy-ai-cso-response/
  topy-ai-cso-all/               bundle that depends on all six
.claude-plugin/marketplace.json     Claude Code marketplace
.agents/plugins/marketplace.json    Codex marketplace
skills.json                         machine-readable catalogue
packages/skills/                    the @topy-ai/cso-skills installer

スキルは、TOPY.AI の MCP サーバーと同じ場所にあるソースカタログから生成されます。ビルド時には、スキルが参照するすべてのツールが CSO サーバーのツール一覧に含まれていることを確認します。SKILL.md を編集するのではなく、イシューを作成してください。

ライセンス

MIT © TOPY AI LTD. プライバシー：topy.ai/privacy。

スキル

6 つのプラグインに 19 個のスキルがあり、topy-ai-cso-all バンドルも含まれます。ソースカタログから生成されています。SKILL.md を編集するのではなく、イシューを作成してください。

AI CSO コア（MCP） · topy-ai-cso

スキル	ティア	内容
topy-cso-connect	core	TOPY CSO MCP サーバーに接続して、対象となる項目を確認します。プロジェクトのスタック、検証済みドメイン、許可されたホスト、ツール、フィードを確認します。
topy-cso-daily-watch	core	毎朝、会社で稼働しているすべてのものを対象に、新しい CVE、勧告、サポート終了日をスタックと照合します。担当者の対応が必要な新しい情報がある場合にのみ通知します。
topy-cso-goals	core	AI CSO の継続的な目標と CEO 向け状況レポートです。未解決の重大なリスク、コード内のシークレット、検証済み情報のみに基づくチェック、審査済みのスキルと MCP サーバー、インシデントのタイムラインを扱います。
topy-cso-setup	core	新しい会社やサイトでの初回実行時に、スタックを棚卸しし、所有する各ドメインを検証して、ホストへの同意について説明します。これにより、以降のすべてのチェックが許可された範囲で完全に行われます。

脆弱性とサプライチェーン · topy-ai-cso-vulnerabilities

スキル	ティア	内容
topy-cso-cve-response	connected	指定された CVE または勧告について、影響の有無、影響箇所、緊急度、対応計画を確認します。開始から終結までのインシデントのタイムラインも作成します。
topy-cso-dependencies	connected	すべてのロックファイルのエコシステムと、サイトにコピーされた JavaScript に含まれる既知の脆弱性を優先順位付けして報告し、修正済みバージョンも提示します。
topy-cso-end-of-life	connected	セキュリティ修正の提供が終了した（または間もなく終了する）ランタイム、データベース、ウェブサーバー、オペレーティングシステムを特定し、アップグレード先を提示します。
topy-cso-package-vet	connected	パッケージを追加する前に、その正確なバージョンについて既知の脆弱性と悪意あるパッケージの報告を確認し、インストール、バージョン固定、インストールしない、のいずれかを明確に提示します。

コードとシークレット · topy-ai-cso-code

スキル	ティア	機能
topy-cso-code-scan	接続済み	リリース前に危険なコードパターン（インジェクション、安全でないデシリアライゼーション、ログ内の個人データ、脆弱な暗号化）を検出し、それぞれの安全なパターンを提示します。
topy-cso-secrets	接続済み	コード、Git 履歴、ビルド出力に含まれるキー、トークン、パスワードを検出し、それぞれについて、まずローテーションする修正方法を提示します。
topy-cso-threat-model	接続済み	調査結果をもとに、システムの STRIDE 脅威モデルと OWASP ASVS チェックリストを作成し、起こり得る問題と、標準への準拠状況を明らかにします。

Web 対策 · topy-ai-cso-web

スキル	ティア	機能
topy-cso-domain-verify	接続済み	アクティブなチェックを行う前に、DNS TXT レコードまたはトークンファイルを使って、会社がドメインを管理していることを証明します。CSO は、検証されていないサイトをスキャンしません。
topy-cso-web-checks	接続済み	検証済みサイトの HTTP セキュリティヘッダーと Cookie を A+ から F まで評価し、TLS（プロトコル、証明書の信頼性、有効期限）を確認して、それぞれの具体的な修正方法を提示します。
topy-cso-web-scan	接続済み	会社が検証したサイトを対象に、安全かつレート制限を設けて脆弱性（既知の欠陥、公開ファイル、設定ミス）をスキャンします。エクスプロイトは行いません。

エージェントと MCP のセキュリティ · topy-ai-cso-agents

スキル	ティア	機能
topy-cso-mcp-audit	接続済み	会社独自の MCP ツールレジストリを対象に OWASP MCP チェックを実施します。読み取り専用のヒント、確認を必須とする破壊的なツール、スコープ、監査ログ、呼び出し可能なホストを確認します。
topy-cso-vet-skill	接続済み	スキル、プラグイン、MCP サーバーをインストールまたは公開する前に、プロンプトインジェクション、データの持ち出し、過剰な権限、リスクの高いツールを検査します。App Factory のセキュリティゲートです。

対応とレポート · topy-ai-cso-response

スキル	ティア	機能
topy-cso-fix-plan	接続済み	調査結果をレビュー済みの運用手順書にまとめます。各アクションには T1（バッチ処理に対応）から T4（まずステージング環境で実施）までのタグを付けます。担当者がレビューして実行します。CSO が適用することはありません。
topy-cso-incident	接続済み	セキュリティインシデントまたは CVE 対応について、発生から終結までを記録します。何が起きたか、すべての手順、実施者を記録することで、何も失われず、レポートが自動的に作成されます。
topy-cso-weekly-report	接続済み	毎週月曜日に、優先度別の未解決事項、修正済みの項目、スタックの変更点、最大3件のアクションをまとめます。Founder にはメールで、CEO にも届けます。