Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
顧客セキュリティ管理フレームワーク（CSCF v2026）を扱う、SWIFT顧客セキュリティプログラム（CSP）の専門アドバイザーです。SWIFT CSP、CSCF管理策、SWIFTセキュリティ認証、KYC-SAポータル、SWIFTアーキテクチャタイプ（A1/A2/A3/A4/B）、必須管理策と推奨管理策、独立評価、SWIFTセキュアゾーン、セキュアフローゾーン、オペレーター向けMFA、SWIFTメッセージングセキュリティ、SWIFTでの決済詐欺防止、CSCFのギャップ分析、または3つの目標（環境の保護、アクセスの把握と制限、検知と対応）にわたるSWIFTの32項目の管理策（v2026では必須26項目、推奨6項目）への準拠について質問された場合に使用します。管理策2.4（バックオフィスのデータフローセキュリティ）はv2026で必須になりました。v2026の認証期間は2026年7月1日から12月31日です。SWIFT CSPまたはCSCFの準拠に関する質問すべてが対象です。
Chainalysis Reactor、WalletExplorer、blockchain.com API などのブロックチェーン分析ツールを使用してランサムウェアの暗号資産決済フローを追跡します。ウォレットクラスターを特定し、ミキサーや取引所を通じた資金の移動を追跡して、法執行機関による帰属分析を支援します。ランサムウェアのビットコイン決済の追跡、暗号資産ウォレットのフォレンジック、恐喝決済に関するブロックチェーン脅威インテリジェンスの収集に使用します。
CORS の設定ミスを調査します。資格情報付きのオリジン反射、null オリジンの信頼、サブドメイン正規表現の回避（アンカーなし、ドット未エスケープ、プレフィックスのみ）、プリフライト（OPTIONS）ゲートの回避、postMessage のオリジンチェックが対象です。攻撃者が制御するオリジンから、資格情報を使って機密データをクロスオリジン読み取りでき、ブラウザーで実証された場合に限り高深刻度とします。API エンドポイント、SPA、または Access-Control-* ヘッダーを出力するアプリのテスト時に使用。
ソースコードやビルド成果物の漏えいを調査します。TypeScript/ES6ソースを再構築できるJavaScriptソースマップ（.js.map）、Swagger/OpenAPI JSONエンドポイントの発見、.env/.gitの露出、ハードコードされたシークレットを含むwebpackチャンク、robots.txt/security.txtの調査、build-infoファイル、asset-manifest.jsonによるAPIルートの発見、.DS_Storeのファイル一覧が対象です。偵察セッションの開始時に必ず使用してください。こうした発見が攻撃対象領域全体の解明につながることがあります。
OpenZeppelin のアップグレード可能モジュールを使用して Stellar/Soroban スマートコントラクトをアップグレードします。次の用途に使用します。(1) ネイティブ WASM の置き換えによる Soroban コントラクトのアップグレード可能化、(2) Upgradeable または UpgradeableMigratable derive macros の使用、(3) Upgrader コントラクトによるアトミックなアップグレードと移行パターンの実装、(4) アップグレード間のストレージキー互換性の確保、(5) Soroban コントラクトのアップグレードパスのテスト。
Trivy でソースコードのセキュリティをスキャンします。Trivy がなければ自動で確認・インストールし、バックエンド／フロントエンドの脆弱性、設定ミス、シークレットをスキャンして JSON+HTML レポートを出力し、HIGH/CRITICAL を要約し、修正（依存関係の更新、非 root ユーザーの USER）を提案・適用します。Trivy による静的スキャンに加え、開発者が誤りがちないくつかの前提（認証は UI のみ、「内部向けだから安全」、CORS、デフォルト設定、デプロイブランチの不一致）を実際のリクエストで動的に検証します。「セキュリティスキャン」「trivy」「脆弱性スキャン」「security scan」「CVE を確認」「脆弱性はある？」「安全？」、「/orca-sec-scans」と言われた場合に使用します。
Alibaba Cloud Firewall IPS（侵入防御システム）が検出したセキュリティイベントやアラートを照会・分析し、脅威の迅速な特定と修復の推奨を支援します。ユーザーが IPS アラート、侵入検知、侵入防御、攻撃イベント、セキュリティアラート、脅威検知、攻撃分析、IDS/IPS、攻撃を受けた、あらゆる攻撃、セキュリティインシデント、セキュリティ警告、攻撃を受けているサーバー、マシンアラームに言及した場合に起動します。「最近攻撃はあったか」「どの資産が攻撃されたか」「この IP に攻撃行為があるか」「特定のサーバー／マシンのセキュリティアラート」「どの IP が特定の IP を攻撃したか」など、明示的に「IPS」と言及していない質問でも起動します。
gRPC の脆弱性を調査します。サーバーリフレクションの有効化（全サービス／メソッドの列挙）、内部エンドポイントの認証欠如／メタデータ除去、HTTP/2 上の平文 gRPC、内部エンドポイントの露出、proto ファイルの漏えい、gRPC-Web/grpc-gateway のトランスコーディングインジェクション、HTTP/2 Rapid Reset DoS（CVE-2023-44487）が対象です。対象が HTTP/2 でポート 50051 / 443 / 8443 / 9090 を公開している場合、grpcurl/grpcui がリフレクションを検出した場合、Envoy または grpc-gateway プロキシがマイクロサービスの前段にある場合、または偵察でマイクロサービスアーキテクチャが判明した場合に使用します。
Node.js 固有の脆弱性を調査します。Prototype Pollution → RCE チェーン（lodash/merge/assign）、Express の trust proxy 設定ミス、child_process/eval インジェクション、テンプレートエンジンの SSTI（EJS/Pug/Handlebars）、ファイルサーバーのパストラバーサル、require() インジェクション、/proc/self/environ 経由の環境変数窃取が対象です。対象が Node.js/Express/Fastify/NestJS/Koa を実行している場合に使用します。
セッション管理の脆弱性を調査します。ログイン時に再生成されないセッション固定、ログアウト／パスワード変更／メールアドレス変更時の無効化不足、予測可能またはエントロピーの低いセッション ID、exp／失効機能のない JWT セッション、リフレッシュトークンのローテーション／再利用検知の不備、OAuth/SSO セッション連携、デバイスバインドセッション（DBSC）のダウングレード、Cookie 属性の問題（Secure/HttpOnly/SameSite/__Host-）が対象です。実際のセッションを 2 つ（攻撃者 A + 被害者 B）使って検証し、すべての 200 応答の本文を差分比較し、窃取攻撃チェーンは OOB で確認します。深刻度は中からクリティカル（セッション固定→管理者乗っ取り、無効化なし→持続的な ATO）。
WebSocketの脆弱性を調査します。クロスサイトWebSocketハイジャック（CSWSH）、WSハンドシェイク時のOrigin検証の欠如／不備、メッセージごとの認証欠如、メッセージ改ざん、socket.ioの名前空間／ルーム認可の回避、ハンドシェイク層でのUpgrade smugglingが対象です。対象にWebSocketエンドポイント（ws://またはwss://）、socket.io / SignalR / Phoenix Channels、リアルタイム機能、チャット、ライブダッシュボード、通知、取引プラットフォームがある場合に使用。
クライアント側の DOM 脆弱性を調査します。DOM Clobbering（HTML インジェクションによる JS グローバルの上書き）、PostMessage の乗っ取り（オリジンチェックの欠如）、Service Worker の悪用（同一オリジンのスクリプトからのリクエスト傍受）、CSS インジェクション／外部流出（属性セレクターで OOB 経由でトークンを 1 文字ずつ取得）、クライアント側テンプレートインジェクション、dangerouslySetInnerHTML が対象です。公開研究として明記されている Gareth Heyes / PortSwigger の DOM-clobbering と DOM-Invader、Michał Bentkowski の DOMPurify clobbering バイパス、jQuery htmlPrefilter XSS（CVE-2020-11022 / CVE-2020-11023）、d0nut の CSS 外部流出研究に基づきます。DOM-XSS、クライアント側認証バイパス、サーバー側とのやり取りを伴わないトークン外部流出の調査に使用します。
ローカルファイルインクルージョン（LFI）、リモートファイルインクルージョン（RFI）、パストラバーサルを調査します。/etc/passwd の読み取り、ログポイズニング → RCE、PHP filter-chain RCE（アップロード不要）、php:// / data:// / zip:// / phar:// ラッパー、allow_url_include による RFI、ディレクトリトラバーサルによる読み取り／書き込み／削除が対象です。OOB／ブラインド LFI の確認と誤検知の抑制も扱います。あらゆるターゲットでファイルインクルージョンやパストラバーサルの脆弱性を調査する場合に使用します。
Make Appの単一アプリ権限の適用（/principal/permission、AppスコープのIAM照合、権限対応Schema、エンティティ/フィールド/操作のガード、権限の更新）を生成、リファクタリング、レビュー、デバッグするときに使用します。单应用权限、权限范围、字段可新建、可见、可编辑、creatable、createFields、data.record.*、meta.entity.*、meta.field.*、ルートガード、URLバイパスが対象です。選択や一括操作にはmake-app-actionsを使用します。プラットフォーム管理者権限、認証、汎用Service API、UIレイアウト、CanvasTable内部、DSL、デプロイ、ランタイムのパッケージ化は対象外です。
脆弱性のあるパッケージや悪意のあるパッケージを防ぐため、依存関係とサプライチェーンのセキュリティを管理します。依存関係の監査、パッケージの更新、脆弱性の確認、サプライチェーン攻撃の把握、依存関係のセキュリティ維持に使用します。トリガー語には "dependencies"、"npm audit"、"supply chain"、"package security"、"vulnerability"、"npm update"、"security audit"、"outdated packages" が含まれます。
Hostヘッダーインジェクションを調査します。パスワードリセットポイズニングによるアカウント乗っ取り（ATO）、キー化されていないHost/X-Forwarded-Hostを介したWebキャッシュポイズニング、ルーティングベースのSSRF（Hostによる上流の選択 → クラウドメタデータ/内部サービス）、パス上書きによるSSRF/ACLバイパス（X-Original-URL/X-Rewrite-URL）、OAuth redirect_uri/issuerポイズニング、メール内の絶対URLリンクポイズニングが対象です。ATOや大規模なキャッシュポイズニングに至る場合、重大度は高からクリティカルです。公開されているHostヘッダー研究（PortSwiggerの「Practical web cache poisoning」とJames Kettle、および従来のパスワードリセットポイズニングの脆弱性分類）に基づいています。パスワード忘れフロー、CDN/リバースプロキシ配下のアプリ、OAuth/OIDCエンドポイント、メール内で絶対URLを使用する機能に使用します
TLS/SSLおよびDNSの設定不備を調査します。HSTSの欠如（ダウングレード攻撃）、弱い暗号スイート、期限切れ・無効な証明書、mTLSのバイパス、SPF/DKIM/DMARCの欠如（メールなりすまし）、DNSゾーン転送（AXFR）、放置されたCNAMEによるサブドメイン乗っ取り、CAAレコードが対象です。単独では情報レベルまたは低リスクのものが大半です。このスキルでは、実際に価値のある発見（受信トレイへの到達証拠を伴うDMARCなりすまし、内部ホストを返すAXFR、放置CNAMEの乗っ取り）と、ベストプラクティス上のノイズとして却下されるもの（CAAの欠如、MitM可能な位置にない場合のHSTSの欠如）を明確に区別します。偵察中のインフラの弱点発見と、報告前の誠実なトリアージに使用します
KubernetesとDockerを調査します—API匿名アクセス、kubelet 10250 exec（SPDY/WebSocket。通常のPOSTは不可）とより簡単な/runプリミティブ、etcd 2379の認証なしアクセス、ダッシュボードのログイン回避、RBACの設定ミス、secret/SA-tokenの悪用、docker.sockによるホスト脱出、runc/コンテナ脱出（Leaky Vessels CVE-2024-21626）、API server経由のnodes/proxy RCE、EphemeralContainers node-shell、バインド／投影されたSA-tokenのaudience+expiryの悪用、admission-controllerの回避、Helm/Tillerの残存物。対象がコンテナ化インフラを実行している、K8sポート（6443/10250/10255/2379/8443）を公開している、またはクラウドメタデータからK8sサービスアカウントが判明する場合に使用します。
ウェブサイトまたはウェブアプリのセキュリティベースラインを確立します。HTTPS と TLS の設定、セキュリティヘッダーの設定、シークレット管理の計画、CSP ポリシーの評価、基本的なセキュリティ監査、公開前のサイト強化に使用します。セキュリティヘッダー、HTTPS、TLS、CSP、コンテンツセキュリティポリシー、HSTS、シークレット管理、脆弱性スキャン、セキュリティ監査、強化、OWASP、セキュリティベースラインに関する依頼が対象です。コンプライアンス上、または公開前にセキュリティレビューが必要な場合にも使用します。
Laravel固有の脆弱性を調査します—デバッグモードの情報漏えい（APP_DEBUG=trueで完全なスタックトレースと環境変数が露出）、Laravel Telescope/Horizonダッシュボードへの不正アクセス、Ignition RCE（CVE-2021-3129）、署名付きURLの改ざん、Queue Workerの悪用、Eloquentによる一括代入、Cookie経由のデシリアライズ、.envファイルの露出。対象がLaravel（PHP）を実行している場合に使用します。X-Powered-By、LaravelセッションCookie、/storage/パスから検出できます。
Didit のスタンドアロン Face Match API（POST /v3/face-match/）を使用して、2 枚の顔画像を 1:1 で照合します。自撮り画像が身分証明書の顔写真または登録済みの写真と一致するかの確認、2 枚の写真が同一人物かの検証、自撮り画像と身分証明書の生体認証比較の追加に使用します。0～100 の類似度スコアと、設定可能な拒否しきい値（デフォルト 30）に基づく Approved/Declined ステータスを返し、画像の回転も任意で行えます。顔の登録、ブロックリスト照合、重複チェックは行いません。
Spring Boot 固有の脆弱性を調査します。Actuator エンドポイント（heapdump、env、loggers、mappings、shutdown）、Spring Expression Language（SpEL）インジェクション → RCE、H2 コンソール RCE、Jolokia JMX の露出、Spring4Shell（CVE-2022-22965）、Spring Cloud Function SpEL（CVE-2022-22963）、ヒープダンプからの認証情報抽出が対象です。対象が Spring Boot を実行している場合に使用します。X-Application-Context ヘッダー、/actuator、Whitelabel Error Page、Java スタックトレースで検出できます。
Python スクリプトを使用してクラウドメタデータエンドポイント（AWS/GCP/Azure の 169.254.169.254）、内部ネットワークサービス、プロトコルハンドラー（file://、gopher://、dict://）をプローブし、Web アプリケーションの URL パラメーターにサーバーサイドリクエストフォージェリ（SSRF）がないかテストします。IP エンコードによる回避や DNS リバインディングも確認します。許可されたペネトレーションテストで、URL 取得パラメーターの SSRF を確認し、脆弱性レポートを作成するために使用します
CI/CDパイプラインの脆弱性を調査します。GitHub Actionsのワークフローインジェクション（pull_request_target Pwnrequestおよび${{ }}-into-shell）、セルフホストRunnerの汚染、OIDC信頼ポリシーの悪用、JenkinsスクリプトコンソールのRCEおよびCVE-2024-23897によるファイル読み取り、GitLab CI Runnerトークンの登録、Terraform状態ファイルの漏えい、成果物／ログからのシークレット漏えい、パイプライン環境変数の開示が対象です。対象に公開GitHub/GitLab組織、外部公開されたCIダッシュボード（Jenkins/TeamCity/Drone/Argo）、またはアクセス可能なビルド成果物／イメージがある場合に使用。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。