mcpField
S
Skills-Security-Check

Skills-Security-Check

github.com/toolsaiセキュリティ45593 回インストール38 週間前に更新
リポジトリ

Skills-Security-Check について

Skills-Security-Check は、スキルのディレクトリを静的にスキャンするセキュリティ監査ツールです。複数のスキルを監査するエージェント向けに、ヒューリスティック検出と監査プロンプトの AI 分析を組み合わせ、HTML レポートと任意の JSON を生成します。

主な機能

  1. 01スキルファイルの静的スキャン
  2. 02スキルごとの監査プロンプト生成
  3. 03全プロンプトのエージェント分析
  4. 04audit.json をレポートに統合
  5. 05HTML ダッシュボードと任意の JSON 出力
  6. 06生のシークレットを出力しない設計

活用シーン

  1. 01複数スキルを含むディレクトリの監査
  2. 02スキャナーが検出したリスク候補の確認
  3. 03確認用のセキュリティレポート作成

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/toolsai/skills-security-check --skill skills-security-check

インストール後、Claude Code で/skills-security-checkを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

README.md
assets/
dashboard_template.html
scripts/
scan_skills.py

詳細

スキル：Skills-Security-Check

AI エージェントへの重要な指示： あなたは単なるコマンド実行役ではありません。主任セキュリティアナリストです。 このツールが提供するのはデータですが、分析を行うのはあなたです。

⚡️ エージェント型ワークフローの3つのステップ（必須）

このスキルを使用する際は、必ず次の手順を繰り返してください。

ステップ 1：スキャナーを実行する（データ収集）

スキャナーを実行して、生データと「監査プロンプト」を生成します。

python3 scripts/scan_skills.py --root /path/to/target/projects

このコマンドは、reports/YYYYMMDD.../prompts/ ディレクトリに *_audit_prompt.txt ファイルを生成します。

ステップ 2：🛑 必須の AI 分析（重要）

スキャナーの作業は完了しました。ここからはあなたの作業です。 生成された監査プロンプトを処理してください。

オプション A（推奨）： プロンプトを自動的に読み取り、すぐに分析します。 オプション B（代替）： 自動で読み取れない場合は、必ずユーザーに次のように確認してください。

「スキャナーが完了しました。{N} 件の監査プロンプトが生成されています。正確な結果を得るために必須の AI セキュリティ分析を今すぐ実行しますか？」

要件：

  • リスクレベルにかかわらず、プロンプトが生成されたすべてのスキルを分析する必要があります。
  • 各スキルについて audit.json を生成します。
ステップ 3：統合して提示する

スキャナーをもう一度実行します。スキャナーは audit.json ファイルを検出し、最終レポートに組み込みます。

python3 scripts/scan_skills.py --root /path/to/target/projects

スキャナーは「ゴールドスタンダード」のダッシュボードを生成し、自動的に開きます。

技術詳細

  • スキャナーのロジック：正規表現ベースの静的解析です。誤検知率が高くなっています。
  • エージェントの役割：誤検知を除外し、コンテキストを把握して、実際のビジネスリスクを評価します。
  • 出力：reports/YYYYMMDD_HHMMSS/index.html（ユーザー向けの最終成果物です）。

シナリオ例： ユーザー：「スキルを監査してください。」 エージェント：

  1. scan_skills.py を実行します。
  2. zimage_audit_prompt.txt が「高リスク」と判定されていることを確認します。
  3. プロンプトを読み、単なる API クライアントだと判断します。
  4. API キーが必要なため「中リスク」と記した audit.json を作成します。
  5. scan_skills.py を再実行して、ダッシュボードを完成させます。

実行方法

  1. 複数のスキルを含むルートフォルダーでスキャナーを実行します。
python3 /Users/mattchan/.agents/skills/skill-security-audit-dashboard/scripts/scan_skills.py \
  --root /Users/mattchan/.agents/skills \
  --out /Users/mattchan/.agents/skills/skill-security-audit-dashboard/security-dashboard.html
  1. 生成された HTML ダッシュボードファイルを開いて、結果を確認します。

注意事項

  • これはヒューリスティックによる静的スキャンです。コードは実行されません。
  • スキャナーは生のシークレットを出力しません。ファイルの場所とカテゴリのみを報告します。
  • JSON ファイルも必要な場合は、--json /path/to/output.json を指定してください。

引数

  • --root：スキルを含むルートディレクトリ（デフォルト：現在の作業ディレクトリ）。
  • --out：出力する HTML ダッシュボードのパス。
  • --json：生の JSON 出力を書き込む任意のパス。

コメント

Markdown 対応