Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
生の API レスポンスを傍受し、UI が実際に表示する内容と比較して、API の過剰なデータ露出（OWASP API3:2023）をテストします。漏えいした PII、内部識別子、デバッグデータ、フロントエンドではフィルタリングされても API が送信する業務上機密性の高いフィールドを調べます。REST またはモバイルアプリ API の過剰取得、レスポンスフィルタリングの回避、エンドポイント応答における意図しないデータ漏えいを監査する際に使用します。
Azure Policy開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、セキュリティ、構成、統合、コーディングパターン、デプロイを扱います。JSONポリシーの作成、ARM/Bicep/Terraformによるデプロイ、セキュリティベースラインの適用、Gatekeeperによる自動化、CI/CDでのポリシー・アズ・コードの実行など、Azure Policy関連の開発タスクで使用します。Azure Blueprints（azure-blueprintsを使用）、Azure Role-based access control（azure-rbacを使用）、Azure Resource Manager（azure-resource-managerを使用）、Azure Security（azure-securityを使用）には使用しないでください。
Omni Gateway Policy Development Kit (PDK)の一般的な機能に対応する、検証済みでコンパイル可能なRustテンプレートです。JWTの検証・生成、OAuth2イントロスペクション、ヘッダー/ボディ操作、ボディストリーミング、レート制限、スパイク制御、CORS、IPフィルタリング、JSON/XMLバリデーター、HTTPアウトバウンド呼び出し、gRPC、DataWeave評価、キャッシュ、分散ロック、ワーカー変数、リクエストデータ、制御フロー、コントラクト、データストレージ、タイマー、ロギング、メタデータ、ポリシー違反、stop_iteration、アウトバウンドポリシー、PDKユニットテストを扱います。「PDKでXを実装する方法」「Y向けのPDKテンプレート」「ZのPDK Rustスニペット」「JWTテンプレート」「レート制限テンプレート」「ヘッダー操作の例」「PDK gRPC」「PDK DataWeave」などの依頼や、templates/内の30個のテンプレートファイルのいずれかに該当する質問で使用します。該当ファイルを読み、ユーザーの`src/lib.rs`に合わせて適用します（複数ファイル機能では関連ファイルも使用）。プロジェクトのスキャフォールディング、ビルド、公開ライフサイクルについては`develop-pdk-policy`に任せます。
最小限かつ的確なコードパッチを作成し、セキュリティ上の指摘事項を修正します。「patch security findings」「fix vulnerabilities」「remediate findings」「threat patch」といった依頼や、findings.json（threat-model 由来）、Codex のセキュリティ指摘 CSV、THREAT-MODEL.md、個別の脆弱性の説明が提示され、修正を求められた場合に起動します。セキュリティスキャナーが検出したコードについて、報告だけでなく実行可能な修正を求められた場合も対象です。
Alibaba Cloud Security Center（SAS）の概要データを照会するスキル。セキュリティスコア、アセットの状態、リスクガバナンス、アセットリスクの傾向、請求情報を取得します。ユーザーの意図に応じて、単一のデータ項目、特定のモジュール、または概要全体を柔軟に照会できます。トリガー：「SAS overview」「security center overview」「SAS 总览」「云安全中心总览」「security score」「安全评分」「安全分」「fixed vulnerability statistics」「baseline risk」「handled alerts」「已修复漏洞统计」「基线风险统计」「已处理告警」「host assets」「uninstalled clients」「主机资产」「CPU 核数」「未安装客户端」「risk governance」「WAF blocks」「asset risk trend」「风险治理」「WAF 拦截统计」「资产风险趋势」「SAS billing」「订阅状态」「云安全中心账单」「按量模块开关」。対象外：このスキルは SAS 概要データの照会のみを対象とし、修復、構成変更、SAS 以外のサービス管理は行いません
stix2、mitreattack-python、spaCyを使ってサイバー脅威インテリジェンスレポート（Mandiant、CrowdStrike、Talos、Microsoft）を解析し、攻撃者の行動を抽出してMITRE ATT&CKの手法IDに対応付け、検出テンプレートを備えた検索可能なSTIX 2.1攻撃パターンライブラリを構築します。脅威インテリジェンスに基づく検出エンジニアリングのためにCTIレポートから攻撃パターンを整理する場合や、記録された行動からSigma/YARAテンプレートを生成する場合に使用します。
攻撃的なセキュリティ評価やバグバウンティ向けの SQL インジェクションテストスキルです。エラーベース、UNION ベース、ブール型／時間ベースのブラインド、帯域外、二次、NoSQL、GraphQL、WebSocket、JSON 演算子による SQLi を扱います。WAF 回避技術、データベース固有のエクスプロイト（MySQL、MSSQL、PostgreSQL、Oracle）、クラウドネイティブな攻撃経路、ORM の CVE 追跡、SQLmap の自動化も含みます。Web アプリの SQL インジェクションテスト、データベース列挙、SQLi による権限昇格、API や最新スタックのインジェクション経路評価に使用します。
Ghi và kiểm provenance (nguồn + sha256 checksum) cho skill — dùng khi 'cài skill từ ngoài', 'skill này từ đâu', 'audit nguồn skill', 'checksum skill', 'supply-chain skill', phát hiện skill bị sửa lén; bổ trợ orca-sec-scans. Chạy fdk/tools/skill-provenance.py. /skill-provenance
Hunt CAPTCHA Bypass — 6 つの異なるパターン：（1）リクエストから CAPTCHA フィールドが省略される（サーバー側検証がない）、（2）解決済みの CAPTCHA トークンが再利用される（使い捨てが強制されていない）、（3）解決したものとは別のエンドポイントで CAPTCHA 応答が受け入れられる（操作／セッションに紐付いていない）、（4）静的または予測可能な CAPTCHA 値（例：「0」、「null」、空文字列）が受け入れられる、（5）音声／アクセシビリティ CAPTCHA がプログラムで簡単に解ける、（6）N 回失敗した後にのみ CAPTCHA が適用される（最初の N 件のリクエストは回避可能）。検出方法：成功したフォーム送信を傍受し、CAPTCHA フィールドを完全に削除して再送します。それでも成功すれば、サーバー側検証がありません。単独では中程度の重大度です。ログイン、登録、決済エンドポイントを保護する唯一のレート制限ゲートを取り除く場合は高になります。
Didit Database Validation API（POST /v3/database-validation/）を統合し、政府および公的機関の登録簿と本人確認データを照合します。国民 ID、CPF、CURP、DNI、RUT、cedula 番号を公的記録で検証する場合、民事登録機関で氏名と生年月日を確認する場合、登録写真との顔照合（アルゼンチン RENAPER、パナマ SIB）を実行する場合、国ごとのデータベース検証サービスを選ぶ場合、または Didit を使った政府データベース照会を実装する場合に使用します。45 か国で 100 以上のサービスを扱い（ラテンアメリカを中心に、スペイン、南アフリカ、ケニアなどの市場も含む）、サービスごとの料金とフィールドごとの照合結果を提供します。
ペネトレーションテスター向けの JWT 攻撃手法です。アルゴリズム混同（alg:none、RS256→HS256）、弱い HMAC シークレットの総当たり、kid パラメーターインジェクション（SQLi、パストラバーサル）、jku/x5u/jwk ヘッダーインジェクション、JWKS キャッシュポイズニング、JWS/JWE 混同、タイミング攻撃、モバイルでの JWT 保存データの抽出を扱います。JWT ベースの認証テスト、トークン操作による認証バイパスの調査、Web またはモバイルアプリにおける JWT 実装のセキュリティ評価に使用します。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。