security-check

security-check

AI がセキュリティチームに。あらゆる言語。あらゆるレイヤー。ツールは不要です。

このスキルでできること

security-check は、AI コーディングアシスタントを包括的なセキュリティスキャンチームに変えます。 自然言語だけで、4 フェーズのパイプライン（偵察 → 検出 → 検証 → レポート）を実行します。 バイナリや依存関係は不要で、CI パイプラインの変更もありません。

クイックスタート

インストール後、AI アシスタントを開いて、次のように指示します。

• 「run security check」 — セキュリティ監査の全体を実行
• 「scan diff」 — PR／差分レベルの増分スキャン
• 「scan for vulnerabilities」 — 全体スキャンと同じ

Claude Code では、/ メニューから /security-check を実行します。監査全体を実行する場合は、 レポートファイルの作成やワーカーの起動前に、対話型セットアップを開いてください。

監査全体を実行する場合は、作業を始める前に詳細なオーケストレーターを読み込みます。どちらのインストール形式でも動作するよう、次の順序で解決してください。

1. バンドルとしてインストールされている場合は、このランチャーを基準にした skills/sc-orchestrator/SKILL.md。
2. シェル／手動インストールによってスキルが同じ階層に配置されている場合は、../sc-orchestrator/SKILL.md。

次に、オーケストレーターが選択した偵察、検出、検証、レポート、言語、および専門スキルのファイルのみを読み込みます。対話型セットアップはランチャーが担当します。オーケストレーターで同じセットアップの質問を繰り返さないでください。

対話型監査のセットアップ

ユーザーのリクエストですでに示されている選択肢を尊重します。未確定のセットアップ項目のみを質問してください。ホストに構造化された質問ツールがある場合は、まとめてメニューを一度だけ呼び出します。Claude Code では AskUserQuestion を使用してください。ツールが利用できる場合、番号付きのメニューを模擬して表示しないでください。

次の選択肢を提示します。

1. プロファイル
   • Standard (Recommended) — 証拠に基づく監査全体と、カバレッジ批評の1回のパス。
   • Quick — 範囲を限定した初回パス。カバレッジが部分的であることを必ず報告します。
   • Deep — サブシステム／ライフサイクルをより細かくカバーし、批評のパスを繰り返します。
2. スコープ
   • Whole repository (Recommended) — ソースから確認できるすべての対象を監査します。
   • Changed files — sc-diff-report に切り替え、差分モードの制限を維持します。
   • Custom paths — 短い追加質問でパスをまとめて尋ねます。
3. 検証
   • Source only (Recommended) — 読み取り専用の分析を行います。外部の事実は needs_validation として扱います。
   • Sandboxed local checks — 安全な実行のためのすべての制御が利用可能な場合に限り実行します。
4. 以前のレポート。存在する場合のみ
   • Continue and revalidate (Recommended) — 互換性のある証拠を再利用し、変更されたソースを再確認します。
   • Archive and start new — 古いディレクトリを日付付きの一意な名前で保持します。
   • Replace — この明示的な選択によって置き換えが許可された場合に限り続行します。

ホストに構造化された質問ツールがない場合は、破壊的でないデフォルトとして、standard、リポジトリ全体、ソースのみの検証、以前の証拠の継続／再検証を選択します。カスタムパスの不足や破壊的な選択によって進行できない場合に限り、通常の質問をしてください。決定した選択肢をスキャン状態に記録し、フェーズ1の前に1行で要約を示します。メニューでの選択は、ライブプローブ、外部への副作用、認証情報の使用、依存関係のインストール、公開、共有インフラストラクチャの変更を許可するものではありません。

含まれるもの

51 個のセキュリティスキル

カテゴリ	件数	スキル
コアパイプライン	6	オーケストレーター、偵察、依存関係監査、検証、レポート、差分レポート
インジェクション	9	SQLi、NoSQLi、GraphQL、XSS、SSTI、XXE、LDAP、CMDi、ヘッダーインジェクション
コード実行	2	RCE、デシリアライゼーション
アクセス制御	4	認証、認可、権限昇格、セッション
データ露出	3	シークレット、データ露出、暗号化
サーバーサイド	4	SSRF、パストラバーサル、ファイルアップロード、オープンリダイレクト
クライアントサイド	4	CSRF、CORS、クリックジャッキング、WebSocket
ロジックと設計	3	ビジネスロジック、競合状態、マスアサインメント
API セキュリティ	3	API セキュリティ、レート制限、JWT
インフラストラクチャ	3	IaC、Docker、CI/CD
言語スキャナー	7	Go、TypeScript、Python、PHP、Rust、Java、C#
特殊な領域	3	AI とエージェント、プロトコルとメッセージング、デスクトップとローカル IPC

10 個のセキュリティチェックリスト（3000 項目以上）

各言語スキャナーには、具体的な CWE 参照を含む 400 項目以上のチェックリストがあります。

4 フェーズのパイプライン

Phase 1: RECON        → Architecture mapping, tech stack detection
Phase 2: HUNT         → 40+ vulnerability skills run in parallel
Phase 3: VERIFY       → False positive elimination, confidence scoring
Phase 4: REPORT       → CVSS severity, remediation roadmap

すべてのフル監査では、カバレッジ台帳も維持されます。不審なパターンは、独立した検証パスによって実際の信頼境界の破綻と意味のある影響が確認されるまでは、候補にすぎません。実行時またはデプロイに関する未解決の事実は、重要度を付けずにneeds_validationとして報告され、多層防御の不足は強化に関する注記として報告されます。

共通の証拠、カバレッジ、安全な検証、レポートの契約については、docs/EVIDENCE_MODEL.mdをご覧ください。

出力

スキャン後、次の内容を含むsecurity-report/ディレクトリが作成されます。

• SECURITY-REPORT.md — 最終的に統合されたレポート
• architecture.md — コードベースのアーキテクチャマップ
• dependency-audit.md — サプライチェーン分析
• verified-findings.md — 誤検知を除外した後の検出結果
• coverage-ledger.md — カバー済み、候補、ブロック、保留、除外された監査単位
• findings.json — 最終的なconfirmed、needs_validation、rejectedの記録

詳細情報

• ドキュメント全文
• エージェントスキル標準
• skills.sh