octopus-security-audit

ホスト：Codex CLI — このスキルは Claude Code 向けに設計され、Codex 用に調整されています。 相互参照コマンドでは、/octo:* スラッシュコマンドではなく、Codex にインストールされたスキル名を使用します。 アクティブな Codex シェルとサブエージェントツールを使用してください。現在のセッションで利用可能であることが確認されるまで、プロバイダー、モデル、またはホストのサブエージェントが利用可能だと主張しないでください。 ホストツールの相当機能については、skills/blocks/codex-host-adapter.md を参照してください。

実行契約（必須 — スキップ不可）

この生成された Codex スキルは、ソーススキルから引き継いだ、強制適用されるワークフロー契約を保持しています。

禁止事項：

• このスキルで実行が求められている場合、参照されたワークフローコマンドを要約、模擬、またはスキップしないでください。
• 実際のファイルまたはコマンド出力を確認せずに、プロバイダーの出力や検証成果物が存在すると主張しないでください。
• 必須のプロバイダー、コマンド、またはホスト機能が利用できない場合、何も言わずに処理を続行しないでください。利用できない依存関係を報告し、サポートされている代替手段を使用してください。

セキュリティ監査スキル

最初の出力行は必ず次のとおりにしてください： 🐙 **CLAUDE OCTOPUS ACTIVATED** - Security Audit

ink（デリバー）フェーズで徹底的なセキュリティ分析を行うために、セキュリティ監査担当ペルソナを起動します。OWASP の簡易スキャンと、完全な敵対的レッドチーム／ブルーチームテストの両方に対応しています。

使用方法

# Quick scan via security-auditor persona
${HOME}/.claude-octopus/plugin/scripts/orchestrate.sh spawn security-auditor "Scan for SQL injection vulnerabilities"

# Adversarial red team via squeeze workflow
${HOME}/.claude-octopus/plugin/scripts/orchestrate.sh squeeze "Security audit the authentication module"

# Via auto-routing (detects security intent)
${HOME}/.claude-octopus/plugin/scripts/orchestrate.sh auto "security audit the payment processing module"

モード（自動検出）

モード	自動トリガー	信頼度ゲート	対象範囲
簡易（デフォルト）	標準的なセキュリティスキャン。差分に機密ファイルが含まれない	8/10 — 確信度の高い指摘のみ	変更されたファイルのみ
詳細（自動昇格）	差分に認証／セキュリティ／CI ファイルが含まれる、または明示的な要求	2/10 — 疑わしいものをすべて報告	コードベース全体

詳細モードへの自動昇格： 次のいずれかに該当する場合、スキルは自動的に詳細モードに切り替わります。

• 差分に次のパターンに一致するファイルが含まれる：*auth*、*login*、*password*、*session*、*token*、*secret*、*crypt*、*oauth*、*saml*、*jwt*、*permission*、*rbac*、*acl*
• 差分に CI/CD ファイルが含まれる：.github/workflows/*、Dockerfile*、docker-compose*、.gitlab-ci*
• 差分に依存関係ファイルが含まれる：package-lock.json、yarn.lock、Gemfile.lock、requirements.txt、go.sum
• ユーザーが「deep」、「full」、「comprehensive」、または「CSO」と明示的に指定している

ユーザー側での操作は不要です。モードの検出は git diff のコンテキストから自動的に行われます。

モデル選択に関する注意：Fable 5.1

デフォルトでは、セキュリティ監査パスを Claude Fable 5.1 または引き継がれた Fable 5 ID に割り当てないでください。これらの安全性分類器は、許可された監査で敵対的なレッドチーム表現を拒否する場合があります。これらのパスは OCTOPUS_FABLE5_FALLBACK_MODEL（デフォルトは claude-opus-5）に割り当て、プロンプトは防御的な表現（脆弱性を見つけて報告するよう依頼し、動作するエクスプロイトは求めない）にしてください。claude-fable-5-1 または claude-fable-5 を対象とする、モデルを明示した完全一致のオーバーライドは拒否してください。拒否された場合は、OCTOPUS_FABLE5_NO_RETRY=1 でない限り、フォールバックで正確に 1 回だけ再試行してください。再試行が無効になっている場合、または再試行でも拒否された場合は、それ以上ディスパッチせず、拒否されたことを報告してください。OCTOPUS_FABLE5_MODE=off は明示的な例外で、通常の環境指定による自動振り分けを無効にします。ただし、Fable のセキュリティシートが完全一致で指定されている場合は、フェイルクローズのままです。詳細は skills/blocks/fable5-prompting.md を参照してください。

機能

コア機能（両モード）

• OWASP Top 10 の脆弱性検出
• SQL インジェクションと XSS のスキャン
• 認証／認可のレビュー
• シークレットと認証情報の検出
• 依存関係の脆弱性評価
• セキュリティ設定のレビュー

シークレットの履歴調査（詳細モード）

git の履歴をスキャンし、コミット内に残っている可能性がある「削除済み」の認証情報漏えいを探します。

# Search git history for common secret patterns
git log --all -p --diff-filter=D -- '*.env' '*.key' '*.pem' 2>/dev/null | head -200
git log --all -p -S 'AKIA' --pickaxe-regex 2>/dev/null | head -100  # AWS keys
git log --all -p -S 'sk-[a-zA-Z0-9]{20,}' --pickaxe-regex 2>/dev/null | head -100  # API keys
git log --all -p -S 'ghp_|gho_|github_pat_' --pickaxe-regex 2>/dev/null | head -100  # GitHub tokens
git log --all -p -S 'password\s*[:=]' --pickaxe-regex 2>/dev/null | head -100  # Passwords

見つかった場合は、コミット SHA、ファイル、および認証情報のローテーションを推奨する旨を報告してください。

CI/CD パイプラインのセキュリティ（詳細モード）

GitHub Actions と CI 設定を監査し、インジェクションと権限昇格を確認します。

# Find all workflow files
find .github/workflows -name '*.yml' -o -name '*.yaml' 2>/dev/null

# Check for dangerous patterns:
# 1. Untrusted input in run: blocks (command injection via PR titles/branch names)
# 2. pull_request_target with checkout of PR code (code execution from forks)
# 3. Overly broad permissions (write-all, contents: write)
# 4. Missing pinned action versions (uses: actions/checkout vs actions/checkout@v4)
# 5. Secrets exposed to pull_request events (accessible to forks)

各指摘には、重大度（CRITICAL/HIGH/MEDIUM/LOW）を付けてください。

スキルとプラグインのサプライチェーン（詳細モード）

インストール済みの Claude Code スキルとプラグインの整合性を検証します：

# List installed plugins
ls -la ~/.claude/plugins/ 2>/dev/null

# Check for skills that execute arbitrary bash
grep -r 'exec\|eval\|bash -c' ~/.claude/skills/*/SKILL.md 2>/dev/null | head -20

# Verify plugin sources (are they from known registries?)
cat ~/.claude/plugins/*/plugin.json 2>/dev/null | grep -E '"source"|"registry"'

STRIDE 脅威モデリング（詳細モード）

対象コンポーネントについて、6 つの STRIDE カテゴリすべてにわたって脅威を列挙します：

カテゴリ	質問
Sなりすまし	攻撃者がユーザーまたはコンポーネントになりすますことはできますか？
T改ざん	転送中または保存中のデータを変更できますか？
R否認	監査証跡なしにアクションを否認できますか？
I情報漏えい	ログ、エラー、またはサイドチャネルを通じて機密データが漏えいする可能性はありますか？
Dサービス拒否	サービスを過負荷にしたり、リソースを枯渇させたりできますか？
E権限昇格	低い権限のユーザーが管理者アクセス権を得ることはできますか？

ペルソナの参照

このスキルは、次の場所で定義されている security-auditor ペルソナをラップします：

• agents/personas/security-auditor.md
• CLI：codex-review
• モデル：gpt-5.2-codex
• フェーズ：ink
• 専門知識：owasp、vulnerability-scanning、security-review

プロンプトの例

"Scan for hardcoded credentials in the codebase"
"Check for CSRF vulnerabilities in form handlers"
"Review the API authentication implementation"
"Red team review the payment API"

敵対的モード（squeeze ワークフロー）

包括的なセキュリティテストには、4 フェーズの敵対的サイクルを実行する squeeze ワークフローを使用します：

1. ブルーチーム（防御）：Codex がコードをレビューし、攻撃対象領域を特定して、防御策を提案します
2. レッドチーム（攻撃）：Antigravity が防御を突破しようとし、エクスプロイトの PoC を生成します
3. 修正（修正）：Codex が見つかったすべての脆弱性にパッチを適用します
4. 検証（検証）：Antigravity が再テストを行い、修正を確認するか、失敗を報告します

${HOME}/.claude-octopus/plugin/scripts/orchestrate.sh squeeze "[user's security request]"

OWASP Top 10 のカバー範囲

• アクセス制御の不備
• 暗号化の失敗
• インジェクション
• 安全でない設計
• セキュリティ設定の不備
• 脆弱なコンポーネント
• 認証の失敗
• ソフトウェア整合性の失敗
• ログ記録と監視の失敗
• サーバーサイドリクエストフォージェリ

その他の攻撃パターン

• 競合状態、ビジネスロジックの欠陥
• サービス拒否、情報漏えい
• クライアントサイド攻撃（XSS、CSRF）

高度なオプション

squeeze はプロンプトのみを受け取り、4 フェーズのパスを 1 回実行します。--principles、--loop、--quality オプションはないため、対象範囲と厳格さをプロンプトに記述してください：

# Focus on specific vulnerabilities
${HOME}/.claude-octopus/plugin/scripts/orchestrate.sh squeeze "Audit for auth bypass only"

# Report every finding, however minor
${HOME}/.claude-octopus/plugin/scripts/orchestrate.sh squeeze "Zero tolerance audit: report every vulnerability, however minor"

敵対的モードを使用する場合

項目	クイックスキャン（spawn）	敵対的（squeeze）
速度	1～2 分	5～10 分
深さ	単一の視点	ブルーチーム＋レッドチーム
出力	問題の一覧	エクスプロイトの PoC＋修正
最適な用途	コミット前チェック	デプロイ前レビュー

使用しない場合

• 本番システム（実際のペネトレーションテストツールを使用してください）
• コンプライアンス監査（認定監査人を利用してください）
• 法的な検証（セキュリティ専門の弁護士に相談してください）

次の用途には使用してください：コミット前のセキュリティチェック、開発段階のテスト、アーキテクチャのセキュリティレビュー、CI/CD のセキュリティゲート。