Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
NIST SP 800-61 Rev. 3（CSF 2.0 Respond and Recover）に沿って、進行中のセキュリティインシデントの迅速なトリアージと初期対応を支援します。インシデントの宣言、検証と優先順位付け、封じ込め、証拠保全、範囲特定、IOC 抽出、通知期限の計測開始を行い、根絶、復旧、事後検証へ引き継ぎます。「インシデント対応」「セキュリティインシデント」「インシデントのトリアージ」「進行中のインシデント」「ハッキングされた」「侵害された」「ランサムウェア」「インシデントを封じ込める」「マルウェア検出」「不審な活動」「IOC」「侵害の痕跡」に言及した場合、またはセキュリティ事象への対処が必要な場合に使用します。
フォレンジック調査やCTFチャレンジでのデジタル証拠復元に向けて、ディスクイメージ、ファイルシステム、メモリダンプを分析します。ユーザーが「disk forensics」「forensic analysis」「disk image」「file carving」「deleted files」「evidence recovery」「timeline analysis」「memory forensics」「volatility」「autopsy」「sleuthkit」「plaso」「log2timeline」「artifact analysis」「chain of custody」に言及した場合、またはフォレンジックイメージの調査が必要な場合に使用します。
MCP を通じてエージェントから Scenario チームを管理する場合に使用してください。チームやプロジェクトで実行できるモデルの制限（モデルアクセス制御、許可リスト、ブロックリスト）、チームメンバーやプロジェクトメンバーの招待・削除、ロール変更、メンバーの Creative Unit 支出上限設定、プロジェクトの作成・削除、API キーとそのロールやスコープの監査、ユーザーまたはモデルごとの使用量の帰属に対応します。キーワード：ガバナンス、モデル制御、使用量上限、支出制限、API キー管理、チーム管理、エンタープライズ
暗号実装を監査します。アルゴリズムの選択、鍵長、KDF パラメーター、IV／nonce の扱い、署名検証、乱数性、TLS 設定、鍵ローテーションを確認します。owasp-audit A04 より詳細な監査です。「暗号レビュー」「暗号監査」「暗号化レビュー」「KDF」「PBKDF2」「Argon2」「bcrypt のコスト」「IV の再利用」「nonce の再利用」「AES モード」「AES-GCM」「AES-ECB」「署名検証」「TLS 設定」「暗号スイート」「鍵ローテーション」「libsodium」「BoringSSL」に言及した場合、または暗号実装が適切か尋ねられた場合に使用します。
API リクエストや URL 内のオブジェクト識別子（数値 ID、UUID、slug）を操作して、安全でない直接オブジェクト参照（IDOR）脆弱性を特定・悪用します。Burp Suite のプロキシ履歴、Intruder、Authorize 拡張機能を使用し、セッション間のオブジェクトレベル認可をテストします。認可された侵入テストやバグバウンティで、CRUD エンドポイントやマルチテナントアプリケーションがオブジェクト単位のアクセス制御を適用しているか検証する際に使用します。
ベストプラクティスに基づく記述ガイダンスと、移行スキルが生成した AWS Terraform 用の読み取り専用ポリシーゲートです。terraform/ ディレクトリに書き込むすべてのフェーズで読み込みます。まず「出力すべき内容」の規則とセキュリティベースライン仕様として使用し、書き込み後に決定論的なポリシー判定として使用します。読み取り専用で、生成された Terraform の合否を報告します。.tf ファイルの編集、.phase-status.json の操作、フェーズ完了の判定は行いません。terraform fmt/init/validate を補完しますが、置き換えるものではありません
特定のCVEや脆弱性情報をエンドツーエンドで調査します。影響を受けるバージョン、コードへの到達可能性、公開PoCの有無、パッチの有無、影響を受ける期間、すぐにパッチを適用できない場合の緩和策を確認します。ユーザーが「CVE」「脆弱性調査」「このCVEは該当するか」「ゼロデイ」「CISA KEV」「GitHub Security Advisory」「到達可能性分析」「パッチ分析」「エクスプロイトの有無」「EPSS」「CVSS」「すべてを止めてパッチを適用すべきか」に言及した場合に使用します。
製品とインフラにおけるプライバシー管理を実装、監査します。GDPR、CCPA / CPRA、LGPD、PIPEDA を扱います。データ最小化、適法な根拠、同意管理、データ主体アクセス要求（DSAR：アクセス、削除、ポータビリティ）、データ処理契約、DPIA / TIA、侵害通知の期限、データ分類、バックアップ、キャッシュ、分析、第三者にわたる「忘れられる権利」の技術的実装をカバーします。「GDPR」「CCPA」「CPRA」「データプライバシー」「プライバシーエンジニアリング」「データ主体アクセス要求」「DSAR」「削除する権利」「忘れられる権利」「データポータビリティ」「同意管理」「Cookie 同意」「データ最小化」「DPIA」「データ保護影響評価」「侵害通知」「DPA」「データ処理契約」「サブプロセッサー」「越境データ移転」「SCC」に言及した場合、またはプライバシー管理の実装やレビューが必要な場合に使用します。
App Router と Server Actions 向けの Next.js セキュリティ監査パターンをレビュー。NEXT_PUBLIC_* の露出、Server Action の認証、ミドルウェアのマッチャーの監査に使用。Next.js アプリのレビュー時に積極的に使用。例：- ユーザー：「Next.js の環境変数をスキャン」→ NEXT_PUBLIC_ 接頭辞付きの漏えいした秘密情報を検出 - ユーザー：「Server Actions を監査」→ 認証と入力検証の欠落を確認 - ユーザー：「Next.js ミドルウェアをレビュー」→ 保護されたルートのマッチャーのカバレッジを確認 - ユーザー：「Next.js API ルートを確認」→ app/api と pages/api の認証を確認 - ユーザー：「Next.js ヘッダーを保護」→ next.config.js のセキュリティヘッダーを監査
クラウドインフラ（AWS、GCP、Azure）および PaaS デプロイプラットフォーム（Vercel、Netlify、Heroku、Render、Railway、Fly）を監査し、設定ミス、過剰な権限、古い、または手動の本番デプロイ、セキュリティ上の不備を調べます。「クラウドセキュリティ」「クラウド監査」「AWS セキュリティ」「GCP セキュリティ」「Azure セキュリティ」「IAM 監査」「S3 バケット」「クラウド設定ミス」「クラウドの強化」「Vercel セキュリティ」「Heroku 監査」「Render 監査」「PaaS セキュリティ」「本番環境は main からビルドされているか」「古い vercel.app がまだ稼働中」「プレビュー環境が公開されている」「Supabase RLS」に言及した場合、またはクラウドやデプロイプラットフォームのセキュリティレビューが必要な場合に使用します。
コード差分とファイルを解析し、バグ、セキュリティ脆弱性（SQL インジェクション、XSS、安全でないデシリアライズ）、コード/Login臭、N+1 クエリ、命名問題、設計上の懸念を特定したうえで、優先度付きの実行可能なフィードバックを含む構造化されたレビューレポートを作成します。プルリクエストのレビュー、コード品質監査、リファクタリング機会の発見、セキュリティ問題の調査に使用します。PR レビュー、コード品質チェック、リファクタリング提案、コードレビュー、コード品質チェックのために呼び出します。専用スキル（security-reviewer、test-master）を補完し、正当性、性能、保守性、テストカバレッジを一度に広い範囲でレビューできます。
アイデンティティおよびアクセス管理の監査、設計、移行を行います。クラウドプロバイダーの IAM（AWS、GCP、Azure）、アイデンティティプロバイダー（Okta、Entra ID / Azure AD、Auth0、Google Workspace）、アプリケーション認可（RBAC、ABAC、ReBAC）、フェデレーションアイデンティティを扱います。ユーザーが「IAM」「identity」「access management」「least privilege」「role design」「SSO」「SAML」「OIDC」「OAuth」「JIT access」「just-in-time access」「break-glass」「service accounts」「RBAC」「ABAC」「privilege creep」「role explosion」「identity governance」「IAM strategy」「identity migration」「Okta」「Entra ID」「Azure AD」「Auth0」「Cognito」に言及した場合、またはアイデンティティ分野のコンサルタントレベルのガイダンスを必要とする場合に使用します。
プロジェクトで Metabase 埋め込み用の JWT SSO 認証を実装します。SSO を使用するすべての埋め込み方式に対応します。Modular embedding（embed.js Web コンポーネント）、Modular embedding SDK（@metabase/embedding-sdk-react）、Full app embedding（iframe ベース）が含まれます。JWT 署名エンドポイントを作成し、フロントエンドの認証レイヤーを設定して、グループマッピングを構成します。Metabase 埋め込みへの SSO/JWT 認証の追加、埋め込み分析でのユーザー ID の実装、Metabase の JWT 認証の設定、またはアプリの認証と Metabase 埋め込みの接続に使用します。
Web/アプリケーション/APIの強化を優先的に振り分けるスキルです。主な作業が、欠けているセキュリティ層（ブラウザー/境界ポリシー、セッション/Cookie/CSRF、不正利用対策、検証/安全でない実行、シークレット/ランタイム設定、または検証）の分類と、曖昧なOWASP/セキュリティ要件を具体的な強化ブリーフにまとめることである場合に使用します。認証スタックの選定は `authentication-setup`、スキーマ作業は `database-schema-design`、コードレベルのバグ修正は `debugging` / `code-review`、環境の接続設定は `system-environment-setup` に振り分けます
言語やフレームワークに応じたセキュリティのベストプラクティスをレビューし、改善案を提示します。ユーザーがセキュリティのベストプラクティスに関するガイダンス、セキュリティレビューやレポート、セキュア・バイ・デフォルトのコーディング支援を明示的に求めた場合に使用します。Python、JavaScript／TypeScript、Go に対応します。一般的なコードレビュー、デバッグ、脅威モデリング（security-threat-model を使用）、セキュリティ以外の作業には使用しないでください。
CI/CDパイプラインの設計、最適化、DevSecOpsセキュリティスキャン、トラブルシューティングに対応します。ユーザーがCI/CD、GitHub Actions、GitLab CI、パイプライン、ワークフロー、ビルド、DevSecOpsに言及した場合に使用します。新しいCI/CDワークフローの作成、パイプラインの失敗や不安定なテストのデバッグ、SAST/DAST/SCAセキュリティスキャンの導入、キャッシュや並列化によるビルドの高速化、デプロイワークフローの設定、OIDCやシークレット管理によるパイプラインの保護、マトリックスビルドやテスト分割の導入、Docker・権限・タイムアウトの問題のトラブルシューティングがトリガーです。
GitHubリポジトリの履歴から機密データ（シークレット、APIキー、プライベートドメイン/IP、PII）をスキャンして削除し、安全性を確認してから安全に強制プッシュします。「清理敏感数据 / 历史重写 / 泄露」、「scan sensitive data」、「clean git history」、「remove secrets from repo」への対応や、公開リポジトリへの強制プッシュ前に使用します。ローカル限定のGit復旧（git-safety-netを使用）や通常のリポジトリ設定（auto-repo-setupを使用）は対象外です。
組み込みのセマンティックガイダンスと任意の専門スキルを用いて既存のNestJSリポジトリを監査し、優先順位付けされた根拠付きのコード品質レポートを返します。NestJSのコードベース全体または指定フォルダーについて、構文、TypeScript、lint、モジュール境界、依存関係、設計上の問題、セキュリティ、テスト、パフォーマンス、信頼性、本番対応の問題を確認する場合に使用します。これは読み取り専用のレビュー用ワークフローです。コードの修正、依存関係のインストール、マイグレーションの実行、デプロイは行いません。他のスキルも該当する場合は、変更前に担当範囲を調整します。
コンテナイメージ、Dockerfile、Kubernetes マニフェストを監査し、設定ミス、過剰な権限、シークレットの露出、ランタイムのリスクを確認します。ユーザーが「コンテナセキュリティ」「Docker セキュリティ」「Dockerfile 監査」「Kubernetes セキュリティ」「K8s セキュリティ」「Pod セキュリティ」「コンテナの強化」「kubectl 監査」「イメージスキャン」「distroless」「rootless コンテナ」「Pod セキュリティポリシー」「Pod セキュリティ基準」「PSS」「ネットワークポリシー」「OPA Gatekeeper」「Kyverno」「ランタイムセキュリティ」に言及した場合、またはコンテナやオーケストレーションのセキュリティを確認する必要がある場合に使用します。
AWS Config ルール、Service Control Policies、権限境界、CloudWatch アラーム、IaC ポリシーチェック（CDK Aspects、cfn-guard、OPA/Sentinel）などの予防的な Well-Architected ガードレールを生成します。任意でガバナンス指針ドキュメントも作成し、一度きりの評価ではなく、ワークロードが継続的に Well-Architected のベストプラクティスに沿うようにします。CI でベストプラクティスを徹底する、安全でない設定や非準拠の設定のリリースを防ぐ、設定ドリフトを検出する、Well-Architected レビューの修正事項を継続的な統制として定式化する、または AI コーディングエージェント用の常時参照される指針ファイルに標準を記録する場合に使用します。
同期ずれ、ロールバック、専用 --headless サーバー、関心領域カリング、帯域幅の急増に対応するマルチプレイヤーの専門知識を提供します。ENet/WebRTC の選択、権限、セキュアな RPC、クライアント予測／リコンシリエーション、適応型同期を扱います。ラバーバンディング、不正可能なクライアント、ピアの大量接続、途中参加、プロファイラーの Network スパイクで起動します。新規オンラインゲームの開発だけが対象ではありません。キーワード：multiplayer、RPC、ENetMultiplayerPeer、MultiplayerSynchronizer、authority、client prediction、rollback、interest management、headless、desync。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。