Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,770 件掲載。コマンド 1 行でインストールできます。
セキュリティ
静的ソースコード脆弱性スキャン。対象ディレクトリ（存在する場合は THREAT_MODEL.md も）を読み込み、確認領域ごとにサブエージェントを並列起動してレビューし、/triage で利用する VULN-FINDINGS.json + .md を出力します。読み取り専用で、ビルド、実行、ネットワーク通信は行いません。実行によって検証されたクラッシュには、代わりに vuln-pipeline を使用してください。「脆弱性をスキャンして」「このコードのセキュリティ問題をレビューして」「<dir> 内のバグを探して」と依頼された場合や、/threat-model と /triage の間のステップとして使用します。
自動化 CI ツールを使って、OWASP Top 10（2025）に照らしてアプリケーションのセキュリティをテストします。対象は OWASP ZAP（DAST）、依存関係・サプライチェーンのスキャン（OSV-Scanner、SBOM、来歴）、Semgrep SAST、認証・セッションのテスト（JWT、OAuth、RBAC）、XSS/CSRF/SQLi/SSRF の Playwright パターンです。「セキュリティテスト」「OWASP」「脆弱性」「ZAP」「XSS」「SSRF」「依存関係スキャン」「認証テスト」「OWASP LLM Top 10」に該当する場合に使用します。対象は CI での自動スキャンと異常系のセキュリティテストで、手動の侵入テストは含みません。対象外：セキュリティ制御を規制（SOC 2、HIPAA、PCI、GDPR）に対応付ける場合は compliance-testing、パイプラインのステージ接続やデプロイゲートの仕組みには ci-cd-integration、攻撃者モデルのない機能的な API 認証・入力テストには api-testing、製品独自の LLM 機能のテストやエージェント自体の防御（プロンプトインジェクション検出器、間接インジェクション、ジェイルブレイクのレッドチームテスト）には ai-system-testing を使用します。関連：ci-cd-integration、compliance-testing、api-testing、shift-left-testing、ai-system-testing
バックエンドアプリからのリクエストに使用する VTEX IO 認証トークンを選択する際に適用します。`ctx.authToken`、`ctx.storeUserAuthToken`、`ctx.adminUserAuthToken`、`authMethod`、およびリクエスト元のコンテキストに基づいて VTEX クライアントが使用する ID を決定する方法を扱います。ストアフロント経由のリクエスト、Admin 操作、または VTEX 認証情報のハードコードを避けるアプリレベルの統合で、VTEX エンドポイントとの通信にどの ID を使うか判断する際に使用します
製品に搭載するAI/LLM機能をテストします。プロンプト回帰テスト、応答品質評価、ツール呼び出し検証、ハルシネーションとRAGのグラウンディング確認、非決定的出力への対策、レッドチーム／安全性スキャン、評価フレームワーク、エージェントを標的としたインジェクション（ツール出力／RAG／スキャンレポートを介した間接インジェクション、自己増殖するペイロード、エージェント経由のデータ流出）を網羅し、信頼できないコンテンツの検出器も同梱します。使用場面："test our LLM feature"、"prompt regression test"、"eval framework"、"hallucination test"、"RAG grounding"、"nondeterministic output"、"AI feature testing"、"red-team our chatbot"、"indirect prompt injection"、"agent reading untrusted tool output"、"production AI quality"。対象外：AIで独自のテストコードを生成する場合は ai-test-generation、AIでCI失敗を分類する場合は ai-bug-triage、AI機能のEU AI Act／GDPR適合性は compliance-testing、AI機能のカナリア／フラグ展開は testing-in-production を使用してください。関連：ai-test-generation、ai-qa-review、api-testing、compliance-testing、security-testing、risk-based-testing、test-data-management。
service.json のルート定義、VTEX IO サービスの public／segment／private URL プレフィックスの選択、または VTEX edge や CDN と連携する HTTP キャッシュヘッダーの設定時に使用します。パスパターン、Cookie の可視性、エッジキャッシュの動作、データの機密性に応じた Cache-Control の調整を扱います。リクエストパスとレスポンスヘッダーが CDN の安全性を左右する Node または .NET IO バックエンドに使用します
AI エージェントのプラグイン、ツール、依存関係のサプライチェーン完全性を検証します。エージェントプラグインやツールパッケージの SHA-256 完全性マニフェストの生成、インストール済みプラグインと公開済みマニフェストの照合、エージェントツールディレクトリ内の改ざん・変更・未追跡ファイルの検出、エージェントコンポーネントの依存関係の固定とバージョンポリシーの監査、エージェントプラグインの昇格（開発 → ステージング → 本番）における来歴チェーンの構築、「プラグインの完全性を検証」「マニフェストを生成」「サプライチェーンを確認」「このプラグインに署名」といった依頼に使用します。
Keychain Services、CryptoKit による暗号化、生体認証（Face ID、Touch ID）、Secure Enclave の鍵ストレージ、LAContext、App Transport Security（ATS）、証明書ピンニング、データ保護クラス、セキュアコーディングパターンを使って iOS アプリを保護します。アプリのセキュリティ機能の実装、プライバシーマニフェストの監査、App Transport Security の設定、キーチェーンアクセスの保護、生体認証の追加、CryptoKit による機密データの暗号化に使用します。
ヘッドレス VTEX ストアフロントの BFF（Backend-for-Frontend）レイヤー、ミドルウェア、API プロキシの設計または変更時に使用します。BFF ミドルウェアのアーキテクチャ、パブリック API とプライベート API の分類、VtexIdclientAutCookie の管理、API キーの保護、安全なリクエストプロキシを扱います。VTEX_APP_KEY を決して公開せず、ブラウザーから VTEX のプライベート API を呼び出してはならない、すべてのヘッドレスコマースプロジェクトに適しています。
MCP（Model Context Protocol）サーバー設定のセキュリティ問題を監査します。以下の場合に使用します。- .mcp.json ファイルのセキュリティリスクを確認する- MCP サーバーの引数にハードコードされたシークレットやシェルインジェクションのパターンがないか確認する- MCP パッケージランナーの依存関係が、名前のみ、@latest、範囲指定ではなく、レビュー済みの正確なバージョンを使用しているか検証する- MCP 設定内の変更可能な npm/npx、bunx、pnpm dlx、yarn dlx、npm exec の参照を検出する- プロジェクトに登録された MCP サーバーと、承認済みリストへの掲載状況を監査する- MCP 設定で環境変数が使われているか、認証情報がハードコードされているか確認する- 「自分の MCP 設定は安全？」「MCP サーバーを監査して」「.mcp.json を確認して」などの依頼。キーワード：[mcp, security, audit, secrets, shell-injection, supply-chain, governance]
セキュリティシグナル、IoC マッチ、Smartscape ノードをランタイム Dynatrace エンティティに解決し、共有ランタイムエンティティを通じて異なるエンティティ階層の検出結果を関連付けます。ID と Smartscape のマッピング（コンテナイメージのダイジェスト／ID とワークロードの対応を含む）、階層間トポロジー（Pod からノードへの対応による K8s Pod 検出とノード CVE の関連付け）、エンティティごとのリスク要約、dt-sec-insights と共有するカバレッジ照合レシピを扱います。トリガー例：「これらの検出結果をワークロード／ホストに対応付けて」「このコンテナイメージはどのワークロードとして実行されるか」「これらの検出結果は同じランタイムエンティティを通じて関連しているか」「この IoC マッチにエンティティのコンテキストを追加して」「この IoC に言及している脅威レポートはどれか」。security.events の照会は THREAT_REPORT の IoC 情報強化（マッチした IoC と帰属レポートの対応）に限ります。広範な security.events のセキュリティ態勢／概要には dt-sec-insights、一般的な DQL には dt-dql-essentials、ログ／スパン内の IoC ハンティングには dt-sec-ioc-hunting、セキュリティの階層横断コンテキスト以外の K8s オブザーバビリティには dt-obs-kubernetes を使用してください。
Dynatraceのログとスパンから脅威インテリジェンスの侵害指標（IoC）を検索し、0～100の脅威露出スコアを生成します。非構造化レポート、アドバイザリ、アドバイザリURL、貼り付けたテキスト、またはSTIXから、IP、ドメイン（ホスト名を含む）、URL、メールアドレス、CVE、ファイルハッシュ（md5/sha1/sha256）、MITRE TTPなどのIoCを抽出・正規化し、fetch logsとfetch spansで検索します。トリガー：これらのIoCを検索、この脅威にさらされているか、ログやトレースでこれらの指標を確認、脅威露出レポート、このアドバイザリURLからIoCを抽出、環境内でこれらのハッシュ/ドメイン/IPを検索。CVEから脆弱性、IP/ドメイン/URL/MITREから検出への処理はdt-sec-insightsに引き継ぎます。次の場合は使用しないでください：security.eventsを直接照会する場合（脆弱性、検出、コンプライアンス、THREAT_REPORTにはdt-sec-insightsを使用）、IoC検索に関係しない一般的なログ照会（dt-obs-logsを使用）、一般的なスパン/トレース分析（dt-obs-tracingを使用）、DQL構文の説明（dt-dql-essentialsを使用）。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。