SkillSync MCP

SkillSync MCP

ウェブサイト | Smithery | npm | GitHub

SkillsMP（Claude Code スキルのマーケットプレイス）向けの MCP（Model Context Protocol）サーバーです。AI アシスタントから直接、スキルの検索、セキュリティ脅威のスキャン、インストール、管理を行えます。

完全なセキュリティスキャンを通過しないとスキルをインストールできない唯一のツールです。

特徴

• 検索 -- SkillsMP マーケットプレイス全体を対象に、キーワード検索と AI によるセマンティック検索を行います
• セキュリティスキャン -- 60 種類以上の脅威パターンに対応：プロンプトインジェクション、リバースシェル、認証情報の窃取、サプライチェーン攻撃、暗号資産マイニング、難読化
• インストール -- セキュリティゲートによる自動チェックを通過したスキルを、GitHub から ~/.claude/skills/ にダウンロードします
• アンインストール -- インストール済みスキルをきれいに削除します
• セーフ検索 -- 検索と自動スキャンを一度に実行します
• インストール済みスキルのレジストリ -- インストール済みスキルをリスクレベルとコンテンツハッシュとともに一覧表示します
• 詳細監査 -- インストール済みの任意のスキルに対して、新たにセキュリティスキャンを実行します
• 起動時検証 -- バックグラウンドでの検出、コンテンツのハッシュ化、ライブ同期のための fs.watch を行います

SkillSync を選ぶ理由

	生の git clone	その他のツール	SkillSync MCP
インストール前のセキュリティスキャン	なし	なし	あり -- 60 種類以上のパターン
重大な脅威のブロック	なし	なし	あり -- プロンプトインジェクション、RCE、認証情報の窃取
複数クライアントへの対応	該当なし	ツールによる	Claude Code、OpenClaw、Cursor、Windsurf、GitHub Copilot、Zed、nanobot
マーケットプレイス検索	手動	一部対応	キーワード検索と AI によるセマンティック検索を標準搭載
起動時検証	なし	なし	あり -- fs.watch とコンテンツハッシュ
出力のサニタイズ	なし	なし	あり -- プロンプトインジェクション対策

ツール（13）

ツール	説明
skillsmp_search	SkillsMP マーケットプレイス全体を対象とするキーワード検索
skillsmp_ai_search	AI によるセマンティック検索（Cloudflare AI）
skillsmp_scan_skill	GitHub のスキルリポジトリをセキュリティスキャンします（60 種類以上のパターン）
skillsmp_search_safe	検索と上位結果の自動スキャン
skillsmp_install_skill	スキャン後、~/.claude/skills/ にインストールします
skillsmp_uninstall_skill	インストール済みスキルを削除します
skillsmp_list_installed	リスクレベルとともにインストール済みスキルをすべて一覧表示します（任意で更新）
skillsmp_audit_installed	指定したインストール済みスキルの詳細なセキュリティ監査
skillsmp_suggest	インストール済みスキルを基に、AI がスキルを推薦します
skillsmp_compare	2 つのスキルのセキュリティを並べて比較します
skillsync_configure	同期サブスクリプションと設定を管理します
skillsync_sync_now	同期サイクルを実行します：ポーリング、差分確認、インストール／更新／削除
skillsync_status	同期エンジンの状態とスケジュールを表示します

対応環境

Claude Code | OpenClaw | Cursor | Windsurf | GitHub Copilot | Zed | nanobot で動作します -- MCP 対応クライアントであれば使用できます

インストール

Smithery（ワンクリック）

Smithery からインストールすると、サポート対象の任意のクライアントで自動設定できます。

Claude Code

~/.claude/settings.json に追加します：

{
  "mcpServers": {
    "skillsmp": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"]
    }
  }
}

OpenClaw

~/.openclaw/mcp.json に追加します：

{
  "mcpServers": {
    "skillsmp": {
      "version": "1.3.0",
      "autoUpdate": false,
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/[email protected]"]
    }
  }
}

OpenClaw は Claude Code と同じ SKILL.md 形式を使用します。このサーバー経由でインストールしたスキルは、両方のプラットフォームで利用できます。OpenClaw ユーザーは、バージョンを固定し、セキュリティ強化ガイドに従ってツールポリシーを確認してください。

Cursor

プロジェクトのルートにある .cursor/mcp.json に追加します：

{
  "mcpServers": {
    "skillsmp": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"]
    }
  }
}

Windsurf

~/.windsurf/mcp.json に追加します：

{
  "mcpServers": {
    "skillsmp": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"]
    }
  }
}

GitHub Copilot

プロジェクトのルートにある .github/copilot-mcp.json、またはグローバル設定の場合は ~/.github/copilot-mcp.json に追加します：

{
  "mcpServers": {
    "skillsync": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"],
      "env": {
        "SKILLSMP_API_KEY": "your-api-key"
      }
    }
  }
}

Zed

~/.config/zed/settings.json の "context_servers" キーの下に追加します：

{
  "context_servers": {
    "skillsync": {
      "command": {
        "path": "npx",
        "args": ["-y", "@stranzwersweb2/skillsync-mcp"],
        "env": {
          "SKILLSMP_API_KEY": "your-api-key"
        }
      }
    }
  }
}

グローバルインストール

npm install -g @stranzwersweb2/skillsync-mcp

その後、任意の MCP 設定で参照します：

{
  "mcpServers": {
    "skillsmp": {
      "command": "skillsync-mcp"
    }
  }
}

クライアントの互換性

クライアント	設定パス	スキル形式
Claude Code	~/.claude/settings.json	~/.claude/skills/ 内の SKILL.md
OpenClaw	~/.openclaw/mcp.json	SKILL.md（同じ形式、ClawHub レジストリ）
Cursor	.cursor/mcp.json	MCP ツールのみ
Windsurf	~/.windsurf/mcp.json	MCP ツールのみ
GitHub Copilot	.github/copilot-mcp.json	MCP ツールのみ
Zed	~/.config/zed/settings.json	MCP ツールのみ
nanobot	MCP 設定	MCP ツールのみ

セキュリティモデル

インストールには、複数レベルのセキュリティスキャンが適用されます：

リスクレベル	動作
安全／低	インストールを続行し、警告を表示します
中／高	インストールをブロックします。上書きするには force: true が必要です
重大	インストールを恒久的にブロックします。上書きできません

追加の安全対策

• スキル名とファイル名のパストラバーサルを防止
• SSRF を防止 — github.com の URL のみ受け付けます
• npm install --ignore-scripts — postinstall 攻撃をブロック
• ファイル数は最大 50、合計サイズは 2MB まで
• バイナリファイルはスキップし、不審なファイル名にはフラグを付けます
• TOCTOU 検証のためのコンテンツハッシュ
• 出力のサニタイズ — ゼロ幅 Unicode と双方向テキスト制御文字を除去し、プロンプトインジェクションを防ぐために出力を切り詰めます

仕組み

Search SkillsMP -> Pick a skill -> Security scan (60+ patterns)
                                        |
                              Critical? -> BLOCKED
                              Medium/High? -> Requires force=true
                              Safe/Low? -> Download from GitHub
                                        |
                              Write to ~/.claude/skills/<name>/
                                        |
                              npm install --ignore-scripts (if needed)
                                        |
                              Startup verification (fs.watch + content hash)
                                        |
                              Restart your MCP client to load

使用例

AI アシスタントに次のように尋ねます：

Search for git-related skills on SkillsMP

Scan this skill for security issues: https://github.com/user/repo/tree/main/skills/my-skill

Install the commit skill from https://github.com/user/repo/tree/main/skills/commit

List all my installed skills

Run a deep security audit on the commit skill

Uninstall the commit skill

開発

git clone https://github.com/adityasugandhi/skillsync-mcp.git
cd skillsync-mcp
npm install
npm run build
npm run dev    # Watch mode with tsx
npm run test:build  # Build + run tests

要件

• Node.js >= 20
• MCP 互換クライアント（Claude Code、OpenClaw、Cursor、Windsurf、GitHub Copilot、Zed、nanobot など）

コントリビューション

コントリビューションを歓迎します。ガイドラインについては CONTRIBUTING.md をご覧ください。

• 未解決の Issue を確認するか、good-first-issue ラベルを探してください
• 新しい脅威検出パターンの追加については、docs/THREAT_PATTERNS.md をご覧ください
• すべての PR は既存のテストスイート（npm run test:build）に合格する必要があります

パブリッシャー

npm パッケージは旧スコープ @stranzwersweb2 で公開されています。これは GitHub の所有者である adityasugandhi と同じ人物です。どちらの ID も Aditya Sugandhi に属しています。

作者

Aditya Sugandhi -- adityasugandhi.com | GitHub

Star の推移

ライセンス

MIT - Aditya Sugandhi