Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
ipsw CLI で Apple のファームウェアとバイナリをリバースエンジニアリングします。IPSW と OTA をリモートまたはローカルで調査し、kernelcaches、dyld_shared_cache、exclave、SEP、コプロセッサのファームウェアを抽出します。DSC dylibs、KEXT、Mach-O を逆アセンブルして相互参照し、ObjC/Swift ヘッダーをダンプして差分を確認します。サンドボックスプロファイルの逆コンパイルと検索、entitlements の検索、クラッシュやパニックのシンボリケート、リリース間の差分比較も行います。ipsw の指定がなくても、iOS/macOS の内部構造、プライベートフレームワーク、カーネルやファームウェアの調査、Apple のセキュリティ研究に使用します。
Internet Identity 認証を統合します。@icp-sdk/auth を使ったパスキー、OpenID（Google、Apple、Microsoft）、組織 SSO のサインイン、SSO ドメインチェック（getSsoStatus）、アイデンティティ属性（検証済みメールアドレス、名前）とそのバックエンド検証、サブドメイン間で共有されるセッション、代替オリジン、/.well-known/ii-app-metadata ドキュメントを扱います。フロントエンドまたは canister にサインイン、ログイン、認証、パスキー、SSO、Internet Identity を追加する場合に使用します。ウォレット統合や ICRC 署名者フローには使用しないでください（wallet-integration を使用）。Agent または CLI がユーザーとしてサインインする場合も対象外です（agent-web-identity を使用）。
.NET および ASP.NET Core のセキュリティパターン。Identity、認証、依存関係の監査、安全なコーディングの実践、.NET エコシステム向け OWASP を扱います。使用する場合：ユーザーが「C#」「.NET」「ASP.NET Core」「Entity Framework」を使用している、または「.NET vulnerabilities」「NuGet security」「.NET authentication」「Blazor security」について質問している場合。使用しない場合：一般的な OWASP の概念には `owasp` または `owasp-top-10` を使用。Java/Python のセキュリティには言語固有のスキルを使用。
Dune app のセキュリティ問題を修正するとき、または認証情報、ユーザー入力、外部データを扱う機能をリリースする前に必ず使用してください。このスキルはセキュリティ問題を検出して修正し、報告だけではありません。ユーザーからセキュリティ修正、セキュリティ強化、脆弱性の修正を求められた場合は省略せず、すべての手順を順に実行してください。トリガー：security、security fix、security hardening、vulnerability、XSS、injection、credentials、secrets、auth、authentication、authorization、token、sensitive data、input validation、CORS、CSP、dependency audit。
セキュリティオペレーションセンターの構築、運用、改善を支援します。アラートの優先順位付け、ランブック作成、エスカレーション基準、オンコール体制、アラート調整ワークフロー、MTTD / MTTR / 適合性 KPI、アナリストの階層化、シフト引き継ぎを扱います。「SOC」「security operations」「SOC analyst」「alert triage workflow」「runbook」「escalation」「on-call」「SOC tiering」「tier 1 / tier 2」「MTTD」「MTTR」「alert fatigue」「shift handoff」「SOAR」への言及がある場合、またはセキュリティオペレーションチームの設計・改善を希望する場合に使用します。
既存の React アプリを Dune に移行する場合、または Dune auth が未設定の場合に必ず使用します。`app.json` の `infra` フィールドから classic と Apps API のフローを判別し、適切なパッケージをインストールしてエントリーファイルを設定します。有効な auth 設定がすでにある場合は何も行いません。トリガー：migrate to Dune、add Dune auth、DuneAuthProvider、AppSdkAuthProvider、connectToHostApp、useDune、Dune setup、setup auth、missing auth provider、CDF authentication、Fusion iframe auth。
自律型ホワイトハットセキュリティ監査ツール Flounder を操作します。ユーザーが公開ソースまたは許可されたリポジトリ、ソースツリー、パッケージ、スマートコントラクト、Solidity/EVM プロジェクト、ZK または証明システムのコード、デプロイ済みアドレス、トランザクション、プロジェクトリンク、過去の Flounder 実行について、セキュリティ監査、バグバウンティレビュー、脆弱性調査、またはエクスプロイトの実証を求める場合に使用します。Flounder の prepare、map、dig、audit、verify、confirm、report ワークフローの実行、Flounder サーバー、デーモン、プロバイダープロファイル、モデル認証、サンドボックス実行、コーパスパス、ソースパス、ビルドルート、カバレッジ、予算の設定、進行中の監査の監視、保留中の範囲の続行、脆弱性の疑いの検証、発見事項の再現、実行に裏付けられたバグレポートの収集にも使用します。また、Flounder のメンテナーがエージェントに監査ツールの再現率向上、Evaluation の失敗分析、管理された Harness 実験の実行、隔離ブランチでの Flounder ソース変更、改善候補 PR の準備を依頼する場合にも使用します。
PCI DSS v4.0.1 に照らして、決済カードデータを扱うアプリケーションとインフラを監査します。スコープの特定（最も影響の大きい単一要素）と、エンジニアリングに関係する要件を重視します。Req 3（CHD の保存）、Req 4（送信）、Req 6（セキュア SDLC）、Req 7-8（アクセス）、Req 10（ログ記録）、Req 11（テスト）、Req 12（プログラム）。「PCI」「PCI DSS」「PCI DSS 4.0」「payment card」「cardholder data」「CHD」「PAN」「PCI scope」「PCI compliance」「SAQ」「AoC」「attestation of compliance」「tokenization」「P2PE」「network segmentation for PCI」への言及がある場合、または決済カードデータを保存、処理、送信するシステムを監査する場合に使用します。
CIS Docker Benchmark v1.8.0 に準拠して、Dockerfile、イメージ、コンテナごとのランタイム設定を強化します。非 root ユーザー、ケイパビリティの削除、読み取り専用ルートファイルシステム、seccomp と AppArmor のプロファイル、最小限のマルチステージビルドを対象とし、docker-bench-security、Hadolint、Dockle で検証します。コンテナや Dockerfile を本番環境向けに準備するとき、または CIS Docker の制御項目に照らしてイメージやランタイムフラグを監査するときに使用します。キーワード：Dockerfile、USER、--cap-drop、read-only rootfs、seccomp、AppArmor、multi-stage、Hadolint、Dockle。Docker デーモン自体の設定には使用せず、hardening-docker-daemon-configuration を使用してください。
テストファイルの生成、モック戦略の作成、コードカバレッジの分析、テストアーキテクチャの設計、および機能・性能・セキュリティの各テスト領域におけるテスト計画と不具合報告を作成する。単体テスト、結合テスト、E2E テストの作成、テスト戦略や自動化フレームワークの構築、カバレッジのギャップ分析、k6 や Artillery を用いた性能テスト、OWASP の手法を用いたセキュリティテスト、不安定なテストのデバッグ、または QA、リグレッションテスト、テスト自動化、品質ゲート、Shift Left テスト、テスト保守の業務で使用する。
NIST AI Risk Management Framework（AI RMF 1.0）および関連ガイダンスを AI / ML システムに適用します。モデルライフサイクルのガバナンス、公平性とバイアスの評価、堅牢性、透明性、説明責任、サードパーティモデルのリスク、ドリフト監視、AI インシデント対応を扱います。プロンプトインジェクション（セキュリティ固有の領域）より広い範囲を対象とします。「AI risk」「AI governance」「NIST AI RMF」「AI compliance」「ML governance」「model risk management」「AI fairness」「AI bias」「algorithmic accountability」「AI Bill of Rights」「EU AI Act」「AI transparency」「model card」「AI red-team program」「AI safety」「responsible AI」「model drift」「concept drift」「AI monitoring」「AI incident」への言及がある場合、または AI / ML システムの評価・ガバナンスが必要な場合に使用します。
概要、強化された脅威モデル（プロトコル種別のプロファイリング、git に基づく重み付けを行った攻撃面、時間的リスク分析、コンポーザビリティの依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者／git の履歴を網羅した、x-ray.md 事前監査レポートを生成します。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」で使用します。
MSAL.js を使用した React SPA 向け Microsoft Entra ID（Azure AD）認証と、jose ライブラリを使用した Cloudflare Workers での JWT 検証を扱います。Authorization Code Flow + PKCE を用いたフルスタックパターンです。記録されている 8 種類のエラーを防止します。Microsoft SSO の実装、AADSTS50058 のループ、AADSTS700084 のリフレッシュトークンエラー、React Router のリダイレクト、setActiveAccount の再レンダリング問題のトラブルシューティング、Workers での Entra ID トークン検証に使用します。
保護対象保健情報（PHI）を扱うアプリケーションやインフラストラクチャを、HIPAA に照らして監査します。HIPAA Security Rule（管理的・物理的・技術的保護措置）、Privacy Rule、Breach Notification Rule、さらに HITECH を対象とします。ePHI の範囲設定、HIPAA の 18 の識別子、Business Associate Agreement（BAA）の連帯責任、必要最小限の基準、違反通知の期限を扱います。ユーザーが「HIPAA」「HIPAA Security Rule」「HIPAA Privacy Rule」「PHI」「ePHI」「protected health information」「BAA」「business associate agreement」「covered entity」「business associate」「minimum necessary」「HIPAA breach」「HITECH」「healthcare compliance」「medical data」「patient data」に言及した場合、または PHI を作成、受領、維持、送信するシステムを監査する場合に使用します。
認証バイパス脆弱性を探索するスキルです。12 件の公開バグバウンティレポートを基に、SAML XSW／パーサー差異（GitHub Enterprise CVE-2025-25291/25292）、SAML 署名の削除（Uber、Rocket.Chat、samlify CVE-2025-47949）、制御文字による SAML ドメイン強制の回避（HackerOne 2024）、パートナーポータルでの IdP 間アサーション再利用（Slack）、WordPress XMLRPC による SSO 回避（Uber）、JWT alg 混同 HS256/RS256（Jitsi）、JWT 署名検証の省略（Linktree、Newspack）、トークンオーディエンスの混同（Argo CD CVE-2023-22482）を扱います。単独の JWT 署名／暗号の偽造（alg:none、鍵の混同、kid/jku）については hunt-jwt-crypto を参照してください。このスキルは SSO/SAML/トークン信頼バイパスチェーン内の JWT のみを対象とします。SAML アサーション層の攻撃（XSW、コメント注入、署名削除、アサーション内 XXE）は hunt-saml が担当し、このスキルはより広範なクロスプロトコル認証バイパスの分類を担当します。認証バイパスを探索する際に使用してください。ブランド UI とレガシーエンドポイントのパターンについては Legacy-Protocol Matrix を参照してください。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。