agent-supply-chain-audit

エージェントのサプライチェーン監査 — スキル、プラグイン、フック、MCP サーバー、指示ファイル

コーディングエージェントは現在、開発者の完全な権限で、サードパーティ製のコードとサードパーティ製の指示を読み込みます。スキルはモデルが従う文章であり、フックはプロンプトのたびに実行されるシェルコマンドであり、MCP サーバーはその時点で npx が解決するものから起動されるプロセスです。NVIDIA の SkillSpector に関する記事では、Liu ら（2026）の調査として、分析対象となった公開スキル 31,132 件のうち、26.1% に脆弱性があり、5.2% は悪意のあるものとみられると報告されています。依存関係をレビューするのと同じように、これらをレビューする人はいません。

このスキルは、ユーザーのエージェントが読み込むものをすべて洗い出し、隠された挙動や悪意のある挙動がないかを調べ、自動実行されるものとその固定方法を確認して、項目ごとの判定を返します。監査対象の項目を実行、インストール、編集、削除することはありません。

相互参照：ユーザーのアプリケーション（RAG コーパス、システムプロンプト、アプリが公開する MCP サーバー）に対して同じ隠し指示やツールポイズニングのチェックを行う場合は prompt-injection、MCP の env ブロック、エージェント設定、セッショントランスクリプト内にあるトークンについては secrets-audit、MCP サーバーや同梱スクリプトの基盤となる npm / PyPI パッケージについては dependency-audit、組織の AI インベントリ内でエージェントツールが占める位置については ai-risk-management、悪意のある項目がすでに実行されている場合は incident-triage、エージェントを取り巻くオペレーター自身のマシンとアカウントについては personal-opsec（C7 ではキャッシュされたブラウザーのバージョンを確認）、Chrome の CVE が発生した際の全体対応については patch-sweep、CI ワークフロー内で実行されるエージェント（claude-code-action など）については cicd-security を参照してください。

ステップ 0 — 許可と範囲

• ユーザー自身のマシン、リポジトリ、インストールを検討している項目を監査します。ユーザーレベルのフォルダー（~/.claude、 ~/.codex、…）はキーボードの前にいる本人のものです。所有者の許可なく、別のユーザーのホームや共有ホストを監査してはいけません。
• 範囲を合意します：プロジェクト（このリポジトリ）、ユーザー（ホームディレクトリの設定）、管理対象（組織のポリシーファイル）、または 候補（ユーザーがまだインストールしていないスキル／プラグイン／サーバー。スクラッチディレクトリにクローンしてもらい、確認のためにインストールしないでください）。
• 読み取り専用で行います。設定ファイルにはトークンが含まれているため、一致箇所にシークレットが含まれる場合は、ファイル名とキー名を報告し、値は先頭部分＋末尾 4 文字に伏せて、secrets-audit に引き継ぎます。会話にシークレットの値を貼り付けてはいけません。
• 挙動を確認するために項目を実行してはいけません（MCP サーバーの起動、同梱スクリプトやフックコマンドの実行は禁止）。動的な証拠が必要な場合は、ユーザーがサンドボックスで実行するための validation_plan を作成します。

ステップ 1 — 棚卸し

各エージェントが、あらゆるスコープで読み込むすべての指示ファイル、スキル、コマンド、サブエージェント、プラグイン、マーケットプレイス、フック、設定ファイル、MCP サーバーを列挙します。エージェントごとのパス一覧と一括検出コマンドは、references/locations.md にあります。主な場所は次のとおりです。

エージェント	指示	拡張機能	コードを実行するもの
Claude Code	CLAUDE.md、CLAUDE.local.md、~/.claude/CLAUDE.md	.claude/skills、~/.claude/skills、.claude/commands、.claude/agents、~/.claude/plugins/、.claude-plugin/plugin.json + marketplace.json	.claude/settings*.json、~/.claude/settings.json、hooks/hooks.json、.mcp.json、~/.claude.json、claude_desktop_config.json、管理対象の設定
エージェント共通	AGENTS.md	.agents/skills（npx skills がインストールする場所）	—
Cursor	.cursor/rules/*.mdc、.cursorrules	.cursor/commands	.cursor/mcp.json、~/.cursor/mcp.json、.cursor/hooks.json
Codex	AGENTS.md、~/.codex/AGENTS.md	~/.codex/prompts、~/.codex/skills	~/.codex/config.toml（[mcp_servers.*]、承認およびサンドボックスポリシー）
Gemini CLI	GEMINI.md、~/.gemini/GEMINI.md	.gemini/commands、~/.gemini/extensions/*	.gemini/settings.json、~/.gemini/settings.json（mcpServers）
Copilot	.github/copilot-instructions.md、.github/instructions/*.instructions.md	.github/prompts、.github/agents、.github/chatmodes	.vscode/mcp.json、VS Code のユーザー設定
起動フォルダー	エージェントの起動フォルダー（~/Downloads、~/Desktop、$HOME）にある任意の AGENTS.md / CLAUDE.md	Codex の ~/.codex/config.toml にある projects.<path>.trust_level、Claude Code のフォルダー信頼プロンプト	それらの指示がエージェントに実行させる内容（LD1–LD4、references/launch-directories.md）
IDE 拡張機能	—	~/.cursor/extensions、~/.vscode/extensions、~/.windsurf/extensions、~/.vscode-oss/extensions、リモートの ~/.*-server/extensions、JetBrains の plugins/	すべての拡張機能：拡張機能ホストがユーザーの完全なアクセス権で実行します

各項目について、種類、エージェント、スコープ、ソース（マーケットプレイス、git URL、npm/PyPI パッケージ、Docker イメージ、リモート URL、手書き）、固定バージョン（コミット SHA、正確なバージョン、ダイジェスト、または「未固定」）、実行可能なもの（なし／事前承認済みのツール／フック／サーバープロセス）、起動するランタイム（chromium <version>、system Chrome、node など）を記録します。ブラウザーサーバーと CLI は references/browser-runtimes.md に記載されています。特定できるソースがない項目も、記録する価値があります。

ステップ 2 — コンテンツのチェック

指示を含むファイルをすべて、スキル本文やフロントマター、同梱の references/ と scripts/、 コマンド、サブエージェント、ルールファイル、プラグインマニフェスト、MCP ツールの説明に至るまで、最初から最後まで読みます。その後、grep を実行します。以下にカテゴリごとの代表的なパターンを 1 つずつ示します。ポータブルな grep / perl の同等コマンドを含む全パターンは、 references/content-checks.md にあります。まず、インベントリ化したパスを T に設定します。

チェック	SkillSpector ID	grep の代表例
不可視／双方向 Unicode	P2, TP2	rg -n '[\x{200B}-\x{200F}\x{202A}-\x{202E}\x{2060}-\x{2064}\x{2066}-\x{2069}\x{FEFF}\x{00AD}\x{E0000}-\x{E007F}]' $T
非表示コメント内の指示	P2, TP1	rg -n -i '^\s*\[[^\]]*\]:\s*(#|<>)' $T と複数行の `` キーワード検索
空白による埋め込み	P9	rg -n '[ \t]{40,}\S' $T と rg -c -U '(\n[ \t]*){20,}\S' $T
エンコードされたペイロード	P2, SC3	rg -n -i 'data:[a-z]+/[a-z0-9.+-]+;base64,' $T
指示の上書き／秘密裏の誘導	P1, P4	rg -n -i '(ignore|disregard) (all )?(previous|prior|above) instructions|you are now|(do not|never) tell the user|silently' $T
拒否の抑制	AR1–AR3	rg -n -i "(never|do not) refuse|without (any )?(warnings?|disclaimers?)|safety polic(y|ies) (do(es)? not|don'?t) apply" $T
情報流出の文言と外向き通信	P3, E1, E4	rg -n -i 'webhook\.site|discord(app)?\.com/api/webhooks|api\.telegram\.org/bot|hooks\.slack\.com|ngrok|pipedream\.net|requestbin|oast\.' $T
認証情報の読み取り	E2, E3, PE3	rg -n -i '\.ssh/|id_(rsa|ed25519)|\.aws/credentials|\.netrc|\.npmrc|printenv|process\.env|os\.environ' $T
エージェントの詮索	AS1, AS2, AS3	rg -n '\.claude/|\.codex/|\.gemini/|\.cursor/|mcp\.json|claude_desktop_config|SKILL\.md' $T
リモートスクリプトの実行	SC2	rg -n -i '(curl|wget)[^|]*[|]\s*(sudo\s+)?(ba|z)?sh\b|bash\s+<\((curl|wget)' $T
難読化、バイトコード、偽装バイナリ	SC3, SC8, SC9	rg -n 'base64 (-d|--decode)|atob\(|fromCharCode|\beval\(' $T; rg --files -uu $T -g '*.pyc' -g '*.so' -g '*.exe'
範囲を限定しないツールの事前承認	EA1	rg -n '^allowed-tools:.*\bBash\s*(,|$)|^allowed-tools:.*(Bash\(\*\)|WebFetch)' $T
永続化／自己改変	RA1, RA2, MP1	rg -n -i '(>>|tee -a|append|write)[^\n]{0,40}(CLAUDE|AGENTS)\.md|settings(\.local)?\.json|crontab|LaunchAgents|\.zshrc|\.bashrc|\.git/hooks' $T
トリガーの悪用	TR1, TR2, TR3	rg -n -i '^description:.*(always use|for (any|every|all) (task|request)|whenever the user)' $T; 重複する name: の値

（表中の \| は Markdown のエスケープです。シェルでは通常の | を入力してください。）

検出結果の読み方：

• 指示とドキュメントの違い。 セキュリティスキルでは、攻撃文字列を意図的に引用することがあります。このカタログも例外ではなく、数多く引用しています。検出結果が問題となるのは、エージェントに向けられた記述（本文、フロントマター、コメント、ツールの説明）であり、その動作を変える可能性がある場合です。フェンス付きブロック内の引用例や「X を探す」リストは、その理由を付けて rejected とします。
• 隠蔽が危険の兆候です。 ゼロ幅文字、タグブロック文字、またはモデルに指示を与えることだけを目的としたファイル内の HTML コメントに指示を隠す正当な理由はありません。内容にかかわらず、隠された指示は確認済みとして扱います。
• 明示された目的。 エージェントの詮索（AS）と環境変数の読み取りは、ローカルにとどまり、その目的を明示する監査または設定スキルでは想定される動作です。問題となるのは、宣言されていない読み取り、他のスキルの読み取り、または外向きの呼び出しに使われる読み取りです。
• 権限の組み合わせには注意してください。 範囲を限定しない Bash は単独でもコード実行を可能にします。範囲を限定しない Bash に WebFetch／WebSearch が加わると、同じスキルに信頼できない入力と外向き通信の経路が追加されます。

ステップ 3 — フックと設定（BH1–BH4）

これらはモデルが何かを判断することなく実行されます。対象となるすべての設定ファイルを読み、まずプロジェクトファイルを確認してください。クローンしたリポジトリの .claude/settings.json は、そのフォルダーを信頼するすべてのユーザーに適用されます。

S=".claude/settings.json .claude/settings.local.json $HOME/.claude/settings.json hooks/hooks.json .cursor/hooks.json $HOME/.cursor/hooks.json"
# BH1/BH2: every hook command, then the ones that reach the network or decode payloads
rg -n '"(command|matcher|type)"\s*:' $S
rg -n -i '"command"\s*:\s*"[^"]*(curl|wget|\bnc\b|https?://|base64|\|\s*(ba|z)?sh|python[0-9.]* -c|node -e)' $S
# BH3: permission mode and broad grants
rg -n '"(defaultMode|allow|ask|deny|additionalDirectories|enableAllProjectMcpServers|enabledMcpjsonServers|disableAllHooks)"' $S
rg -n '"(Bash|Bash\(\*\)|WebFetch|Read\(~?/\*\*\)|mcp__[^"]*)"' $S
# BH4: settings keys that run a command on their own, and env that reroutes or injects
rg -n '"(apiKeyHelper|awsAuthRefresh|awsCredentialExport|otelHeadersHelper|statusLine|fileSuggestion)"' $S
rg -n '"(ANTHROPIC_BASE_URL|ANTHROPIC_API_URL|HTTPS?_PROXY|NODE_OPTIONS|LD_PRELOAD|DYLD_INSERT_LIBRARIES|GIT_SSH_COMMAND|CLAUDE_CODE_SHELL_PREFIX)"' $S
rg -n '"(PLAYWRIGHT_BROWSERS_PATH|PUPPETEER_EXECUTABLE_PATH|AGENT_BROWSER_EXECUTABLE_PATH)"' $S   # which browser binary runs (RT1)

評価する項目：

項目	重要な理由
UserPromptSubmit / PostToolUse フック	すべてのプロンプト／すべてのツール結果（ファイルの内容、コマンド出力）を確認できます。ここでネットワーク呼び出しがあれば、BH2 の持ち出し候補です。
許可の判断を返す PreToolUse フック	ユーザーに確認するはずのツール呼び出しを、黙って承認します
SessionStart フック	ユーザーが何も入力する前、起動時に実行され、コンテキストを挿入できます
プロジェクトファイル内の defaultMode: bypassPermissions / acceptEdits / dontAsk	リポジトリをクローンするすべてのユーザーに対する基準を下げます
Bash、Bash(*)、Bash(curl:*)、WebFetch、Read(~/**) を含む permissions.allow	リポジトリに必要な範囲をはるかに超える事前承認です
apiKeyHelper、statusLine、awsAuthRefresh、…	独自のスケジュールで実行されるシェルコマンドです。disableAllHooks ですべてが対象になるわけではないため、それぞれ確認してください
env.ANTHROPIC_BASE_URL / プロキシ変数	すべてのプロンプトとエージェントが読み取るファイルを、他者のホスト経由でルーティングします
NODE_OPTIONS=--require、LD_PRELOAD、GIT_SSH_COMMAND	エージェントが起動するプロセスにコードを注入します
PLAYWRIGHT_BROWSERS_PATH、PUPPETEER_EXECUTABLE_PATH、--executablePath	実行するブラウザーバイナリーを選択します。RT1 に従ってバージョンを確認してください。リポジトリ内または /tmp にある対象は、それ自体が指摘事項です
enableAllProjectMcpServers: true	リポジトリに含まれる .mcp.json の内容をすべて自動承認します

他の環境での同等の設定：Codex の approval_policy = "never" と sandbox_mode = "danger-full-access" の組み合わせ （rg -n 'approval_policy|sandbox_mode|\[mcp_servers' ~/.codex/config.toml）；Gemini CLI の MCP サーバーに対する "trust": true、または自動承認／YOLO 設定（rg -n '"(trust|autoAccept|approvalMode)"' .gemini/settings.json ~/.gemini/settings.json）； VS Code / Copilot のツール自動承認設定；Cursor の自動実行と許可リスト（アプリの UI で設定されるため、ユーザーに確認してください）。

ステップ 4 — MCP サーバー：バージョンの固定、ツール定義、ラグプル

バージョンの固定（RP1、RP3）

M=".mcp.json .cursor/mcp.json .vscode/mcp.json $HOME/.claude.json $HOME/.cursor/mcp.json $HOME/.gemini/settings.json"
rg -n -A5 '"command"\s*:\s*"(npx|bunx|pnpm|uvx|uv|pipx|docker|deno)"' $M "$HOME/Library/Application Support/Claude/claude_desktop_config.json"
rg -n -A5 'command\s*=\s*"(npx|uvx|docker)"' $HOME/.codex/config.toml
rg -n '@latest|:latest"|"-y"|"--yes"' $M
rg -n '"(url|serverUrl|httpUrl)"\s*:' $M          # remote servers

"args": ["-y", "@acme/mcp-server"]           // unpinned (RP1): next launch runs whatever was published last
"args": ["-y", "@acme/[email protected]"]     // pinned to an exact version
"args": ["run", "ghcr.io/acme/mcp@sha256:…"] // docker: digest; a numeric tag is weaker; no tag / latest is unpinned

バージョンが固定されていないパッケージランナーは、確認済みの指摘事項です（条件 third_party_dependency）。深刻度はサーバーがアクセスできる範囲に応じて決まります。リモートの url サーバーはまったくバージョンを固定できません。ベンダーはいつでもツールを変更できるため、その点を記録し、以下の差分確認プロセスを活用してください。env / headers ブロック内のシークレットは secrets-audit に送ります。設定には ${VAR} の参照のみを記述してください。

同梱ブラウザーランタイム（RT1）

ブラウザーサーバーと CLI（Playwright MCP、Puppeteer サーバー、agent-browser）は独自の Chromium を起動します。この Chromium は自動更新されず、エージェントがアクセスするすべてのページを実行します。それぞれが起動するバージョンを確認し、Chrome for Testing の安定版と比較してください。悪用が確認されている脆弱性やサンドボックス脱出の修正より古い場合は confirmed です。Accessibility を持つアプリから信頼できない URL を閲覧する場合は High、信頼できない URL のみを閲覧する場合は Medium、localhost のみの場合は Low です。名前の付いた CVE がなく、メジャーバージョンが 2 つを超えて遅れている場合は needs_validation です。バージョンを固定したブラウザーサーバーにも更新予算が必要です。Chromium がメジャーバージョンで 1 つ以上遅れたら、固定バージョンの更新はセキュリティ修正となります。識別子、grep、判定基準、RP1 の照合作業については references/browser-runtimes.md を参照してください。マシンごとのバージョン確認については personal-opsec C7 を参照してください。

起動ディレクトリとフォルダーの信頼（LD1–LD4）

エージェントがどこから起動するかを確認し、ブラウザーが書き込む汎用フォルダー内の指示ファイルと設定を一覧にします。 2026年10月、顧客の ~/Downloads に仕込まれた AGENTS.md が、Codex に対して、マシン全体の ~/.codex/config.toml にサーバーを追加し、悪意のある npm パッケージをインストールするよう指示していました。確認項目：信頼済みの汎用フォルダー（LD1）、誰も書き込んでいない指示ファイル（LD2）、ユーザーが心当たりのないマシン全体のサーバーまたはベース URL（LD3）、既知のキャンペーン由来のパッケージ（LD4）。LD2～LD4 は Critical です。Codex の信頼設定は正確なパスごとに適用されるため、~/Downloads に対する untrusted エントリでは、その中のフォルダーは対象になりません。詳細：references/launch-directories.md。

IDE 拡張機能（EX1–EX6）

各 IDE の extensions.json を読み、ディスク上のすべてのバージョンフォルダーを一覧にします。IDE はアップデート後も古いバージョンを残すため、悪意のあるビルドがアップデート後も残る可能性があります。確認項目：既知の悪意あるバージョン（EX1）、高い権限を持つ拡張機能の自動更新が有効（EX2）、別のマーケットプレイスに同じ ID が存在（EX3）、extension.js の先頭にコードが挿入されている（EX4）、未検証の発行元またはタイポスクワッティング（EX5）、拡張機能ポリシーがない（EX6）。EX1 または EX4 に該当した場合は Critical であり、何かを削除する前に incident-triage に進みます。調査のきっかけとなったのは、2026-10-29 に Cursor のマーケットプレイスで見つかった、悪意のある Anthropic.claude-code 2.1.312 および 2.1.313 ビルドです。一覧表示コマンド、確認の詳細、重大度については、references/ide-extensions.md を参照してください。

ツール定義（TP1–TP4、LP1–LP4）

すべてのツールについて、名前、説明、および各パラメーターの名前、説明、デフォルト値、列挙ラベルを読み取ります。これらのテキストはモデルのコンテキストに直接渡され、モデルにとってシステムプロンプトと同じくらい強い権威を持ちます。次を確認します。

• 説明文へのインジェクション（TP1）とパラメーター定義へのインジェクション（TP3）—ツールのテキストに対して、ステップ 2 の隠し指示と上書きの確認を実施します。「notes」「context」「sidenote」のような汎用パラメーターの説明が、ファイルの内容、キー、または会話を入力するようモデルに求めている場合は、典型的な情報流出のパターンです。
• 名前における Unicode の偽装（TP2）—read_file を信頼できるツールのように見せる複数の文字体系や紛らわしい文字、または別のサーバーのツール名を隠す名前。
• 説明と動作の不一致（TP4、LP1）—ソースを確認できる場合は、「日付をフォーマットする」という説明と、実際のハンドラー（~/.ssh を読み取る、ソケットを開く、プロセスを起動する）を比較します。宣言された権限が過度に広い場合（LP2）、明らかな機能があるのに権限が宣言されていない場合（LP3）、または宣言された権限が使われていない場合（LP4）も、ここで確認します。
• サーバーをまたぐ指示—別のサーバーのツールの使い方をモデルに指示する説明。

ロールバック詐欺 — 承認後に固定して差分を確認する（RP2）

サーバーは v1.0 でのレビューを通過した後、v1.1 でツールの説明を変更したりツールを追加したりする可能性があります。また、リモートサーバーは一晩で変更されることもあります。対策は、承認時にスナップショットを取得し、アップグレードのたびに差分を確認することです。

• 実行しない静的差分： npm の場合、npm diff --diff=@acme/[email protected] --diff=@acme/[email protected] を使うと、ツール登録コードを含む変更ファイルがすべて表示されます。説明、スキーマ、新しいツール、新たなネットワークアクセスやファイルアクセスに関する変更を読み取ります。
• ライブスナップショット（ユーザーがサンドボックス内で実行）： 固定した MCP Inspector を使ってツールを一覧表示します。例：npx @modelcontextprotocol/inspector@<version> --cli <server command> --method tools/list > mcp-snapshots/<server>@<version>.json。その後、ソートした JSON と承認済みスナップショットの diff を取ります。これによりサーバーが起動するため、これはユーザーが行う検証ステップであり、このスキルが実行するものではありません。
• 変更された説明文やパラメーターのテキスト、追加されたツール、広げられた権限やトリガー、ツールアノテーションの変更（読み取り専用 → 破壊的）にフラグを立てます。承認済みサーバーにスナップショットも差分確認プロセスもない場合は、ハードニングに関する注意事項です。

ステップ 5 — 任意の自動チェック：SkillSpector

NVIDIA SkillSpector（Apache-2.0）は、約 70 件の静的チェックと任意の LLM 支援チェックを実行し、各スキルを 0～100 で評価して、SAFE／CAUTION／DO NOT INSTALL の判定を出します。ユーザーがインストールしている場合（固定バージョンを指定してください。信頼するツールがもう 1 つ増えることになります）：

skillspector scan --no-llm .claude/skills -f json -o skillspector.json   # also .agents/skills, ~/.claude/skills, a candidate dir

• ここで事前承認されているのは --no-llm だけです。LLM モードでは、設定済みプロバイダー（デフォルトでは NVIDIA のホスト型 API）にファイルの内容が送信されます。ユーザーから明示的な許可を得た場合にのみ実行し、設定のシークレットを含むフォルダーでは実行しないでください。
• 出力は候補として扱ってください。各検出項目をルール ID とともに調査結果に追加し、grep の検出結果と同様に精査してください（セキュリティ関連スキルは検出されます）。また、SAFE のスコアをファイルの読み込みの代わりにしないでください。意図までは判断できません。

ステップ 6 — 判定、重大度、項目ごとの評価

すべての候補を confirmed、needs_validation、または rejected として確定します（references/findings-format.md を参照）。 重大度は confirmed の検出項目にのみ付与し、overall は実証された影響を超えないようにします（references/severity-calibration.md）。 この対象における判断の目安は次のとおりです。

Severity	Typical shape
Critical	有効な項目が認証情報、会話記録、またはソースを外部ホストに送信する。コマンドを実行したり承認を無効にしたりする、隠された指示。既知の悪意ある IDE 拡張機能、またはコードが先頭に挿入された IDE 拡張機能がディスク上に存在する（EX1、EX4）
High	宣言されていない外部送信を行うフックまたは同梱スクリプト。権限を回避したり、モデルのトラフィックを迂回させたりするプロジェクト設定。指示ファイル、設定、またはシェル初期化ファイルへの永続化
Medium	広範なツールアクセスを持つ、バージョンが固定されていない MCP サーバーまたは git からインストールされたスキル。本番環境にアクセスできるマシンで自動更新が有効になっている、未レビューのエージェント拡張機能（EX2）。スコープが限定されていない Bash と WebFetch の事前承認。モデルを別のツールや追加データへ誘導するツールの説明
Low	影響範囲が狭い、バージョンが固定されていない項目。他のスキルの適用を妨げる、範囲が広すぎるトリガー

検出項目ではなく、強化に関する注記にあたるもの：ツール定義のスナップショットがない、permissions.deny ルールがない、SHA ではなくタグを固定している、マーケットプレイスの更新に対するレビュー手順がない。これらは別途報告し、重大度は決して付与しないでください。

項目ごとに、検出結果をまとめます。

• DO-NOT-INSTALL（または今すぐ削除） — confirmed の Critical／High がある場合、または隠された指示がある場合。
• CAUTION — confirmed の Medium／Low がある場合、または未解決の needs_validation 項目がある場合。解消に必要な対応（バージョンの固定、権限付与のスコープ限定、フックの削除）を記載してください。
• SAFE — rejected と強化に関する注記以外に何もない場合。「SAFE」は「このレビューでは何も見つからなかった」という意味であり、保証ではないことを明記してください。

自分のツールも自ら使う

このカタログは .claude/skills/ と .agents/skills/ にインストールされるため、他のソースと同様に監査してください。

• バージョンを固定します。タグ付きリリースからインストールし、変動するブランチではなくコミット SHA を記録してください。
• 引用されたペイロード（prompt-injection の例、secrets-audit のキーのパターン、このスキル自身のパターン）が検出されることを想定してください。ドキュメントとして精査し、以降の実行で検出されないよう rejected として記録してください。
• ここにある複数のスキルは、スコープが限定されていない Bash を、場合によっては WebFetch／WebSearch と組み合わせて事前承認しています。これはカタログに対する EA1 の検出事項であり、重大度はスキルの指示が実際に行う内容に基づいて判断します。他者のスキルと同様に報告してください。

出力形式

機械可読な所見を先に記述して検証し、その後、それらをもとに Markdown を作成します。

• findings.json — プロジェクトスコープの項目。パスはリポジトリ相対です。findings.user.json — ユーザースコープの項目。パスは $HOME からの相対パスです（例：.claude/settings.json）。バリデーターは絶対パスと ~ を含むパスを拒否するため、2つのルートを混在させないでください。 このスキルが書き込むファイルはこれらだけで、書き込み先についてユーザーの同意を得てから作成します。
• 各レコード：skill: "agent-supply-chain-audit"；fingerprint は次のような形式です： agent-supply-chain-audit:BH2:.claude/settings.json:posttooluse-hook-posts-to-webhook（ルール ID + 項目 + 根本原因 — 行番号は含めません）；title はルール ID を先頭に付けます（[BH2] PostToolUse hook posts tool output to webhook.site）； trace は有効化（フックイベント、スキルトリガー、サーバー起動）からシンク（外部送信、実行、書き込み）までの流れです； owasp_category には OWASP LLM / Agentic ID を含めてもかまいません（例：LLM03:2025 Supply Chain）；シークレットの値は一切含めず、プレフィックスと末尾4文字のみを記載します。
• 検証：node references/validate-findings.mjs findings.json（references/validate-findings.mjs）（および findings.user.json）。文章を書く前に すべてのエラーを修正してください。

# Agent Supply-Chain Audit
## Scope: [project / user / managed / candidate] — [paths]
## Date: [date] — SkillSpector: [version, --no-llm | not run]

### Inventory
| # | Item | Type | Agent | Scope | Source | Pin | Runs | Runtime | Verdict |
|---|------|------|-------|-------|--------|-----|------|---------|---------|
| 1 | .claude/skills/pdf-helper | skill | Claude Code | project | github.com/x/y | unpinned (main) | Bash (unscoped) | — | DO-NOT-INSTALL |
| 2 | playwright (MCP) | MCP server | Claude Code | user | npm @playwright/mcp | 0.0.41 (pinned 2026-06-02) | server process | chromium 149.0.7827.55 ⚠️ | CAUTION |

### Findings
#### [SEVERITY] [RULE-ID] [Title]
**Item / file:** `path` — **Verdict:** confirmed — **Category:** Hidden Instruction / Tool Poisoning | Exfiltration | Agent Snooping | Hooks & Settings | Rug Pull / Pinning | Supply Chain | Excessive Agency | Persistence | Trigger Abuse
**Evidence:** [quoted text or config, secrets redacted]
**Activation → impact:** [when it runs, what it reaches]
**Fix:** [remove / pin to X / scope grant to Y / delete hook]

### Needs validation
| Item | Rule | Blocker | Validation plan |

### Hardening notes (not findings)
- [gap, why it matters, suggested control]

### Rejected candidates
| Item | Rule | Why ruled out (control + location) |

境界

• 監査対象の項目には読み取り専用で対応します。インストール、起動、実行、編集、削除は決して行わないでください。削除やバージョン固定は ユーザーが実施する推奨事項です。
• フックコマンド、同梱スクリプト、MCP サーバーを実行して動作を確認しないでください。動的な確認は、ユーザーがサンドボックス内で実施する検証計画として提示します。
• 設定やトランスクリプトからレポートにシークレットを転載しないでください。マスキングし、secrets-audit に引き継ぎます。
• 悪意のあるスキル、汚染されたツールの説明、または SkillSpector のようなレビューやスキャナーを回避するフックの構築や調整には協力しないでください。ユーザーが検出できるように手法を説明することは問題ありません。
• すでに実行され、悪意があるように見える項目がある場合は、監査を中止して incident-triage に切り替えてください。その項目がアクセスできた可能性のあるものをローテーションし、ファイルを保全し、外部送信を確認してください。

参考資料

• NVIDIA SkillSpector（Apache-2.0）— リポジトリ、 脆弱性のパターン、 MCP ツールポイズニング。ここに記載されているルール ID は SkillSpector のものですが、パターンはこのリポジトリ独自のものです
• OWASP Top 10 for LLM Applications 2025（LLM01 プロンプトインジェクション、LLM03 サプライチェーン、LLM06 過剰な自律性）および OWASP Top 10 for Agentic Applications
• MITRE ATLAS
• Model Context Protocol 仕様 — セキュリティのベストプラクティス
• Invariant Labs、「MCP Security Notification: Tool Poisoning Attacks」（2025）
• Claude Code ドキュメント — 設定、フック、権限、MCP、プラグイン
• references/locations.md、references/content-checks.md、 references/findings-format.md、references/severity-calibration.md