Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
生成されたシリアライズを通じて漏えいする可能性のあるシークレット、トークン、パスワード、API キーを検出します。対象は Python の dataclass repr と asdict、attrs、pydantic model_dump、NamedTuple、JavaScript の JSON.stringify と util.inspect、構造化ログ、トレーススパン、エラーレポートです。「シークレットのシリアライズを確認」「repr 内の認証情報」「repr=False の監査」「スパン内のシークレット」「ログ内のトークン」を求められた場合や、dataclass、モデル、設定オブジェクトに認証情報フィールドを追加する変更、オブジェクト全体またはすべての kwarg を文字列化してテレメトリーに記録するコードを追加する変更で使用します。
crontab/systemd エントリー、LD_PRELOAD インジェクション、シェルプロファイルの改変（.bashrc、.profile）、SSH authorized_keys のバックドアなど、Linux システムの永続化メカニズムをスキャンし、検出結果を auditd ログと照合して侵入タイムラインを作成します。インシデント対応や脅威ハンティングで、攻撃者が侵害された Linux ホストへのアクセスをどのように維持したかを検出または確認する際に使用します。
メールが確実に受信トレイに届くようにします。メール認証（SPF、DKIM、DMARC）の設定、メールが迷惑メールに振り分けられる原因の診断、ドメイン評価戦略の策定、送信者評価の監視、メールなりすまし対策の強化に使用します。トリガー：メール到達性、SPF、DKIM、DMARC、迷惑メールフォルダー、送信者評価、メールボックスプロバイダー、一時的なバウンス、バウンス率、BIMI、MTA-STS、到達性監査。マーケティングメールやトランザクションメールがユーザーに届かない場合にも使用します。
メッシュネットワーク、安全なアクセス、ゼロトラストインフラストラクチャ向けの Tailscale VPN の包括的なセットアップ、設定、管理を扱います。インストール、CLI コマンド、サブネットルーター、出口ノード、Tailscale SSH、ACL/grants の設定、MagicDNS、Tailscale Serve/Funnel、API 自動化、本番デプロイのベストプラクティスを網羅します。Tailscale のセットアップ、tailnet アクセス制御の設定、サブネットルーターや出口ノードのデプロイ、Tailscale SSH の有効化、Serve/Funnel によるサービス公開、Tailscale API による自動化、接続のトラブルシューティング、本番環境への Tailscale デプロイ計画に使用します。
OWASP Top 10 に準拠し、JavaScript/TypeScript アプリケーションの包括的なセキュリティ監査と脆弱性検出を行います。（1）ユーザーが「セキュリティを監査」「脆弱性を確認」「セキュリティレビュー」「認証を実装」「このコードを保護」などと依頼した場合、（2）認証、API エンドポイント、ファイルアップロードの追加やユーザー入力の処理、（3）シークレット、認証情報、機密データの取り扱い、（4）決済機能やブロックチェーン統合の実装、（5）デプロイ前のセキュリティチェックに使用します。ハードコードされたシークレット、インジェクション脆弱性、XSS/CSRF、アクセス制御の不備、安全でない認証、レート制限、依存関係の脆弱性、機密データの漏えいを監査します。
Realm管理、ユーザー/グループ管理、クライアント設定、認証フロー、アイデンティティブローカー、認可ポリシー、セキュリティ強化、トラブルシューティングなど、KeyCloakの包括的な管理ガイダンスを提供します。SSO設定、SAML/OIDCのセットアップ、ロールベースアクセス制御（RBAC）、ユーザーフェデレーション（LDAP/AD）、ソーシャルログイン連携、多要素認証（MFA）、高可用性デプロイを扱います。KeyCloakの設定、SSOのセットアップ、Realmやクライアントの管理、認証問題のトラブルシューティング、RBACの実装を行う場合、または「KeyCloak」「SSO」「OIDC」「SAML」「アイデンティティプロバイダー」「IAM」「認証フロー」「ユーザーフェデレーション」「Realm設定」「アクセス管理」に言及した場合に使用します。
Azure Key Vault 開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、制限とクォータ、セキュリティ、構成、統合、コーディングパターン、デプロイを扱います。シークレット／キー、Private Link、Entra ID 認証、BYOK/HSM、ARM/Bicep/Terraform のデプロイなど、Azure Key Vault 関連の開発タスクに使用してください。Azure Cloud Hsm には使用せず azure-cloud-hsm を、Azure Dedicated HSM には azure-dedicated-hsm を、Azure Payment Hsm には azure-payment-hsm を、Azure Attestation には azure-attestation を使用してください。
Agentforce エージェント向けの構造化テストスイートを記述・実行・分析します。機能テストとセキュリティテストの両方に対応。トリガー条件：ユーザーがテスト仕様 YAML（AiEvaluationDefinition）を作成または変更した場合、sf agent test create、run、run-eval、results コマンドを実行した場合、テストカバレッジ戦略・指標選定・カスタム評価について尋ねた場合、テスト結果の解釈や失敗の診断をする場合、バッチテスト、回帰テストスイート、CI/CD テスト統合について尋ねた場合、セキュリティテスト、OWASP LLM Top 10、レッドチーム、侵入テスト、プロンプトインジェクションテスト、セキュリティグレード、エージェントの脆弱性評価を要求した場合。トリガーしない条件：ユーザーが .agent ファイルを作成・変更・プレビュー・デバッグする場合（agentforce-generate を使用）、エージェントのデプロイや公開を行う場合、Agent Script コードを記述する場合、sf agent preview を開発反復で使う場合、本番セッショントレースを分析する場合（agentforce-observe を使用）、.agent ファイル内容の静的セーフティレビューを行う場合（agentforce-generate のセクション 15 を使用）。
対象バックエンドに合わせたペイロードを作成し、APIのパラメーター、ヘッダー、リクエスト本文におけるSQLインジェクション、NoSQLインジェクション、OSコマンドインジェクション、LDAPインジェクション、SSRFなどの脆弱性をテストします。データの抽出、コマンドの実行、内部サービスへのアクセスを試み、OWASP API8:2023およびAPI7:2023 SSRFに対応付けます。APIに対するSQLi、NoSQLインジェクション、コマンドインジェクション、SSRFのテストや、API入力検証の評価に使用します。
Chainlink ACE ポリシー、PolicyEngine、Cross-Chain Identity を扱います。CCIP トークンプールの仕組みは chainlink-ccip-skill の対象です。依頼によっては両方のスキルが必要になる場合があります。このスキルはプールを対象としません。監査済み ACE コアコントラクト、管理対象の Platform、Coordinator API、Reporting API、ポリシーチェーン、カスタムポリシー、認証情報、KYC と AML、制裁スクリーニング、規制対象トークン、オンチェーンコンプライアンスルールに適用されます。
バグ報奨金の提出における証拠の取得と PoC のマスキング規範：Cookie のマスキング手順（隠すフィールド、Preview の注釈/Burp パネルの非表示/DevTools ワークフロー）、PII の黒塗り規範（他ユーザーのデータで隠す情報——名前、メール、電話番号、顔——と残してよい情報——ユーザー名、トレース ID、リクエスト本文）、HAR ファイルのサニタイズ（Cookie/Set-Cookie/Authorization ヘッダー用 jq フィルター）、Burp Repeater/Intruder のスクリーンショット規範（リクエスト本文を隠し、レート制限攻撃では Results テーブルのみを表示）、Chrome DevTools Console の PoC パターン（Cookie が出力されないよう credentials を含める、ラベル付き console.log）、スクリーンショットの撮影順、ファイル名の規則、提出後のローテーション規範。PoC のスクリーンショットを撮る前、HAR を添付する前、またはセッション Cookie や他ユーザーの PII を含む証拠を準備する際に使用します。bugcrowd-reporting および report-writing と併用します。
脅威アクターの行動と観測されたIOCをMITRE ATT&CKフレームワークに体系的にマッピングし、ATT&CK Navigatorで手法のカバレッジヒートマップを作成して検知ギャップを特定し、Enterprise、Mobile、ICSの各マトリクスにわたる実用的な脅威インテリジェンスレポートを作成します。脅威アクターのTTP分析、IOCと特定のATT&CK手法の関連付け、敵対者の行動に対する防御側の検知カバレッジ評価に使用します。
SQLi脆弱性の調査スキル。公開済みのバグバウンティレポート12件を基に構築されており、最新のNoSQLインジェクション（Rocket.Chat CVE-2021-22911 MongoDB $regex、Mongoose ORM CVE-2024-53900 $whereバイパス）、最新ORMの生フラグメントSQLi（Django CVE-2024-42005、Sequelize GHSA-wrh9-cjv3-2hpw）、二次SOQLインジェクション（HackerOne Salesforce）、GraphQLリゾルバーの時間ベースブラインドSQLi、OIDC-proxyバックエンドのSQLiを含みます。あらゆるターゲットでSQLiを調査する際に使用します。専用のNoSQL演算子インジェクション（MongoDB/CouchDB $where/$regex/$ne）はhunt-nosqliの担当です。ここでのNoSQLは、関連するORM/WAFの文脈としてのみ扱います。
OWASP Top 10:2025 のセキュリティ脆弱性。アクセス制御、インジェクション、サプライチェーン、暗号化の失敗などを扱います。セキュリティレビューに使用します。使用する場合：ユーザーが「OWASP 2025」「Top 10」「セキュリティレビュー」「脆弱性評価」に言及する場合、「アクセス制御の不備」「インジェクション」「サプライチェーン」「暗号化の失敗」「例外処理」について尋ねる場合。使用しない場合：一般的な OWASP（2021）には `owasp`、シークレットには `secrets-management`、依存関係には `supply-chain` を使用してください。
pyWhisker、Whisker、または Certipy を使って攻撃者が制御する公開鍵を msDS-KeyCredentialLink（Shadow Credentials）に書き込み、Active Directory アカウントを乗っ取ります。その後、PKINIT で認証し、パスワードをリセットせずに対象の NT ハッシュを取得します。許可されたレッドチーム演習で、BloodHound に対象への GenericWrite/GenericAll/AddKeyCredentialLink が表示された場合に、ForceChangePassword よりも検知されにくい代替手段として使用します。
API Keys beta（2025年12月）、Next.js 16 proxy.ts（2025年3月の CVE 関連）、API バージョン 2025-11-10 の破壊的変更、clerkMiddleware() のオプション、webhook、本番環境での考慮事項（GCP の障害）、コンポーネントリファレンスを扱う Clerk 認証。記録されている15種類のエラーを防ぎます。ユーザー／組織向け API キー、Next.js 16 のミドルウェアファイル名、JWKS／CSRF／JWT／token-type-mismatch エラーのトラブルシューティング、webhook の検証、ユーザータイプの不整合、424242 OTP によるテストに使用します。
バグバウンティの完全なワークフロー — 偵察（サブドメイン列挙、アセット発見、フィンガープリンティング、HackerOne のスコープ、ソースコード監査）、ハンティング前の学習（公開済みレポート、技術スタック調査、マインドマップ、脅威モデリング）、脆弱性ハンティング（IDOR、SSRF、XSS、認証バイパス、CSRF、競合状態、SQLi、XXE、ファイルアップロード、ビジネスロジック、GraphQL、HTTP リクエストスマグリング、キャッシュポイズニング、OAuth、タイミングサイドチャネル、OIDC、SSTI、サブドメイン乗っ取り、クラウド設定ミス、ATO チェーン、エージェント型 AI）、LLM/AI セキュリティテスト（チャットボットの IDOR、プロンプトインジェクション、間接インジェクション、ASCII スマグリング、データ流出チャネル、コードツール経由の RCE、システムプロンプト抽出、ASI01-ASI10）、A から B への脆弱性連鎖（IDOR→認証バイパス、SSRF→クラウドメタデータ、XSS→ATO、オープンリダイレクト→OAuth 窃取、S3→バンドル→シークレット→OAuth）、バイパス表（SSRF IP バイパス、オープンリダイレクトバイパス、ファイルアップロードバイパス）、言語別 grep（JS プロトタイプ汚染、Python pickle、PHP 型ジャグリング、Go template.HTML、Ruby YAML.load、Rust unwrap）、レポート作成（7-Question Gate、4 つの検証ゲート、人間らしい文体、脆弱性クラス別テンプレート、CVSS 3.1、PoC 生成、常に却下される項目リスト、条件付きチェーン表、提出チェックリスト）。新しいターゲットの開始、偵察、特定の脆弱性の探索、ソースコード監査、AI 機能のテスト、発見事項の検証、レポート作成など、あらゆるバグバウンティタスクに使用します。中国語のトリガー語：漏洞赏金、安全测试、渗透测试、漏洞挖掘、信息收集、子域名枚举、XSS测试、SQL注入、SSRF、安全审计、漏洞报告
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。