Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
ソフトウェアサプライチェーンの攻撃対象領域を外部から偵察します。パッケージ名前空間のスクワッティング候補、依存関係混同の脆弱性、GitHub Actions のインジェクション機会、コンテナイメージレジストリの公開、SBOM の調査、内部パッケージ名の漏えい、CI/CD 設定の露出を確認します。偵察と特定のみを行います。実際のパッケージ公開／タイポスクワッティング攻撃は外部への攻撃行為であり、npm/PyPI エコシステム全体に影響する可能性があるため、明示的な書面による承認が必要です。対象に公開 GitHub 組織がある場合、ビルド成果物／SBOM にアクセスできる場合、Docker イメージが Docker Hub/GHCR にある場合、または JS バンドル内で内部パッケージ名が見つかった場合に使用します。
Micronaut アプリケーションのセキュリティを設計、レビュー、改善する場合に使用します。対象には micronaut-security 認証、@Secured および intercept-url-map ルール、JWT/セッション戦略、SecurityService チェック、CORS、ブラウザーアプリ向けの CSRF 対策、拒否ハンドラー、機密データを含めない安全なログ記録が含まれます。「Micronaut のセキュリティサポートを追加」「Micronaut のセキュリティ設定をレビュー」「Micronaut の API 認可を改善」「Micronaut に JWT セキュリティを追加」「Micronaut のルート認可ルールを強化」などの依頼で起動します。Plinth Toolkit の一部です。
Didit のスタンドアロン API を通じて本人確認書類とデジタル ID ウォレットを検証します。エージェントが画像または PDF からパスポート、ID カード、運転免許証、居住許可証を検証する場合、OCR の実行や MRZ／バーコードの抽出、画面キャプチャ・印刷コピー・顔写真の改ざん・隠された項目の検出、書類の警告の読み取り、またはワークフローを介さずデジタル ID ウォレットへのサインイン（MitID、BankID Sweden、iDIN、Finnish Trust Network、Smart-ID、Mobile-ID）を開始する場合に使用します。220 以上の国と地域における 14,000 種類以上の書類に対応します
レッドチーム演習中に発生するクライアントSOCのパッチ適用、攻撃者の活動、セキュリティ状態の変化を検出し、その観察結果を提出可能な所見にまとめる方法論です。許可を得たレッドチーム業務で、確認済みのSQLiが検出から30分以内にクライアントによって修正され、1回のテストセッション中に外部の攻撃者が複数の新規アカウントをロックした事例をもとにしています。(a)監視対象に対して何らかのアクティブな演習を実施中、(b)以前確認された所見が再現しなくなった、(c)基準となるタイミングが予期せず変化した、(d)テスト中に応答パターンの変化に気づいた場合に使用します。
CIS Controls v8（CIS Top 18）の専門アドバイザー。実装グループの範囲設定（IG1/IG2/IG3）、管理策のギャップ評価、セーフガードレベルのガイダンス、資産インベントリ、ソフトウェアインベントリ、データ保護、安全な設定、アカウント管理、アクセス制御、継続的な脆弱性管理、監査ログ管理、メールおよび Web ブラウザーの保護、マルウェア対策、ネットワークインフラ管理、ネットワークの監視と防御、アプリケーションソフトウェアのセキュリティ、インシデント対応、侵入テスト、CIS Controls と NIST CSF、ISO 27001、SOC 2、CMMC の対応付けを扱います。CIS Controls、CIS Benchmarks、実装グループ、またはあらゆる規模の組織における優先的なサイバー衛生に関する質問に使用します。
OpenClaw（v2026.2.19）のエキスパートスキルです。チャットアプリ（WhatsApp、Telegram、Discord、Slack、iMessage、Signal、LINE、Matrix、Teams、Google Chat）を AI エージェントに接続する、セルフホスト可能な AI ゲートウェイです。OpenClaw のインストール／設定／更新、チャットチャネルの設定やトラブルシューティング、セキュリティ強化と監査、openclaw.json の設定やプロンプト（SOUL.md/AGENTS.md）の確認、マルチエージェントのルーティングとセッション管理、クラウドデプロイ（AWS/GCP/Fly.io/Docker）、バージョンアップ、ClawHub スキルの検索についてユーザーが尋ねた際に使用します。セキュリティ監査、設定確認、セッションスキャン用のスクリプトを同梱しています。次の場合に起動します：“openclaw”、“openclaw.json”、“~/.openclaw”、“gateway config”。対象外：一般的なチャットボットフレームワーク、OpenClaw 以外のゲートウェイ、無関係な Docker の質問。
正規表現によるシグネチャ照合、構造異常のヒューリスティックスコアリング、DeBERTa ベースの Transformer 分類を用いてプロンプトインジェクションを検出します。OWASP LLM Top 10（LLM01:2025）に基づき、直接的なインジェクション（システムプロンプトの上書き、ロールプレイによる制約回避）と間接的なインジェクション（エンコードされたペイロード、難読化）を検出します。チャットボット／エージェント／RAG パイプラインの入力検証レイヤーや、ログまたはインシデント調査でのインジェクション試行の遡及的な分類に使用します。
米国の防衛産業基盤（DIB）に属する防衛関連の元請け企業および下請け企業向けの、CMMC 2.0（サイバーセキュリティ成熟度モデル認証）エキスパートアドバイザーです。ユーザーが CMMC 2.0、CMMC レベル 1・2・3、DoD のサイバーセキュリティコンプライアンス、NIST SP 800-171、CUI（管理対象非機密情報）の保護、システムセキュリティ計画（SSP）、行動計画とマイルストーン（POA&M）、C3PAO 評価、DIBCAC 監査、自己評価、SPRS スコア、DFARS 252.204-7012 または 7021 の要件について尋ねた場合に使用します。「CMMC ギャップ分析」「CMMC 対応準備」「FCI 保護」「CUI の範囲設定」「CMMC 実践項目」「DoD 契約のサイバーセキュリティ」「防衛サプライチェーンのセキュリティ」「元請け要件の下請けへの適用」、2026 年 7 月の CMMC フェーズ 2 停止、CMMC 改革タスクフォースにも対応します。
不備または弱いレート制限を調査します。ログインへのブルートフォース、OTP／2FA のブルートフォース（10^6 の鍵空間）、パスワードリセットトークンへのブルートフォース、クレデンシャルスタッフィング、エラー文字列／ステータスコード／応答時間の違いによるユーザー名・メールアドレスの列挙、弱いパスワードポリシー、CAPTCHA の欠如（CAPTCHA トークンのリプレイ／単回使用／同時実行ウィンドウのバイパスの詳細 → hunt-captcha-bypass）、X-Forwarded-For などを使った IP ベースのレート制限の回避、ReDoS に対応します。ハードロックアウト、ソフトな IP スロットリング、CAPTCHA インジェクション、サイレントなシャドースロットリングを区別し、「レート制限なし」という誤った結論を避けます。深刻度はブルートフォースの到達範囲に応じて中程度から重大です（OTP→ATO = 重大）。
NIST SP 800-53 Rev 5 コンプライアンスアドバイザー。全 20 のコントロールファミリー（AC、AT、AU、CA、CM、CP、IA、IR、MA、MP、PE、PL、PM、PS、PT、RA、SA、SC、SI、SR）、Low/Moderate/High ベースラインの選択、FIPS 199/200 によるシステム分類、コントロールの調整とオーバーレイ、プライバシーコントロール（PT ファミリー）、サプライチェーンリスク管理（SR ファミリー）、評価手順（SP 800-53A）、OSCAL、RMF 統合（SP 800-37）、FedRAMP、FISMA、CMMC 2.0、ISO 27001 へのマッピングを扱います。連邦システムのセキュリティコントロール、FISMA コンプライアンス、RMF の手順ガイダンス、コントロール記述の作成、ベースライン調整に関する質問に使用します。
カリフォルニア州消費者プライバシー法（CCPA）およびカリフォルニア州プライバシー権法（CPRA）のコンプライアンスアドバイザー。事業者の適用基準分析、消費者の権利行使（アクセス、削除、訂正、販売／共有のオプトアウト、SPI の制限、ADMT のオプトアウト）、プライバシー通知の作成、サービスプロバイダー／請負業者／第三者の分類、機微な個人情報（SPI）の取り扱い、データ最小化、オプトアウトの仕組み（GPC を含む）、サイバーセキュリティ監査とリスク評価（2026年1月1日より施行）、ADMT の義務（2026年施行、期限は2027年1月1日）、CPPA の執行事例（Disney 275万ドル、PlayOn 110万ドル、Ford 37万5,000ドル）、制裁金リスク、GDPR との比較、カリフォルニア州で事業を行う、または同州の住民を対象とする企業のギャップ評価に対応します。
Webアプリケーションのコードをレビューし、バグ、セキュリティ上の問題、パフォーマンスの問題、技術スタック固有のアンチパターンを検出します。ユーザーがコードレビュー、本番環境の問題のデバッグ、ビルド失敗の調査、セキュリティ監査、マージ前のPR確認を求める場合に使用します。コードレビュー、自分のコードのレビュー、デバッグ、ビルドエラー、故障、動作しない、Xが失敗する理由、このコードを確認、セキュリティチェック、PRレビュー、コード監査、リファクタリングで起動します。4xxまたは5xxエラー、デプロイ失敗、環境変数の問題、CMS統合の問題を調査する場合も起動します。
安全でないデシリアライゼーションを調査します — Java ガジェットチェーン（ysoserial）、PHP オブジェクトインジェクション（phpggc）、Python pickle RCE、.NET BinaryFormatter、Ruby Marshal.load、JNDI/Log4Shell。デシリアライゼーションによる RCE はほぼ常に Critical です。対象が Java、PHP シリアライズ、Python pickle、.NET、または Ruby on Rails を使用している場合に使います。
政府機関とそのサプライチェーン向けの、オーストラリア情報セキュリティマニュアル（ISM）の専門アドバイザーです。ISMの管理策選定、ギャップ分析、システム認可、IRAP評価の準備、セキュリティ文書、ASDコンプライアンスに使用します。対象：ISM管理策、ASDコンプライアンス、IRAP評価、PROTECTEDシステムの範囲設定、Essential EightとISMの比較、システム認可、NC/OS/ PROTECTED/SECRET/TOP SECRETの分類表示、セキュリティ目標、ISMのガイドラインや章、管理策の適用可能性表示、オーストラリア政府向けサイバーセキュリティ文書、2026年6月のISM更新、ISMのAIアプリケーション管理策（ISM-2112/2113/2114）、およびASD情報セキュリティマニュアルの枠組みやオーストラリア政府のサイバーセキュリティ義務に関するあらゆる質問。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。