Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
Web／モバイル／API のテスト案件向けのビジネスロジック脆弱性テストです。ワークフローの迂回、状態機械の違反、多段階プロセスの悪用、価格・数量・割引の改ざん、通貨の混同、クーポンの併用、返金・チャージバックの悪用、ロジック境界での競合状態、パラメーター改ざんによる隠れたフローの実行、ロール／テナント境界の違反、検査時と使用時の不一致、ボット対策の回避、不正検知の回避、サブスクリプション／クォータの悪用を扱います。表層的な OWASP Top 10 の確認後にアプリのスコープを定める場合や、ロジック上の欠陥が直接的な金銭的損害につながる取引・マーケットプレイス・フィンテック・EC・SaaS アプリを対象とする場合に使用します。
ペネトレーションテストおよびレッドチーム報告書の作成手法です。エグゼクティブサマリーの構成（非技術者向けのリスク主導の説明）、技術的な所見の形式（タイトル、深刻度、影響範囲、説明、再現手順、影響、修正策、参考資料）、ベクターによる根拠を添えた CVSS v3.1 / v4.0 の評価、OWASP リスク評価、証拠の適切な取り扱い（認証情報のマスキング、クライアントデータのハッシュ化、すべての操作へのタイムスタンプ付与）、スクリーンショットと PoC 成果物の管理、所見の連鎖を説明する記述、スコープ／制限事項／前提条件の文書化、再テストの証拠と修正状況の追跡、成果物の形式（PDF、DOCX、HTML、SIEM 取り込み用の JSON）、クライアント・顧客・成果物の区別、よくある報告書の誤り（CVSS の過剰評価、トリアージ担当者の判断を損なう記述、「それで何が重要なのか」の欠落）を扱います。案件の終了時に成果物を作成する場合、経営層向けに草稿を読みやすく再構成する場合、またはコンサルティング業務で再利用可能な報告書テンプレートを整備する場合に使用します。
Starknet 上で OpenZeppelin の UpgradeableComponent を使用して Cairo スマートコントラクトをアップグレードします。ユーザーが次の作業を行う場合に使用します：(1) replace_class_syscall で Cairo コントラクトをアップグレード可能にする、(2) OpenZeppelin UpgradeableComponent を統合する、(3) Starknet のクラスベースのアップグレードモデルと EVM プロキシパターンを理解する、(4) アップグレード後もストレージ互換性を確保する、(5) アクセス制御でアップグレード関数を保護する、(6) Cairo コントラクトのアップグレードパスをテストする。
Arbitrum上でOpenZeppelinのプロキシパターンを使用してStylusスマートコントラクトをアップグレードします。ユーザーが次のことを必要とする場合に使用します：(1) UUPSまたはBeaconプロキシでStylus Rustコントラクトをアップグレード可能にする、(2) Stylus固有のプロキシ機構（logic_flag、WASMの再アクティベーション）を理解する、(3) UUPSUpgradeableをアクセス制御と統合する、(4) アップグレード間のストレージ互換性を確保する、または (5) Stylusコントラクトのアップグレードパスをテストする。
git リポジトリを分析して、セキュリティの所有権トポロジー（人とファイルの対応関係）を構築し、バスファクターと機密コードの所有権を算出して、グラフデータベースや可視化向けに CSV/JSON を出力します。git 履歴に基づくセキュリティ重視の所有権分析またはバスファクター分析をユーザーが明示的に求めている場合に使用します（例：放置された機密コード、セキュリティ保守担当者、リスク評価のための CODEOWNERS 実態確認、機密性の高いホットスポット、所有権クラスター）。一般的な保守担当者リスト、セキュリティ以外の所有権に関する質問、脅威モデリングには使用しないでください（security-threat-model を使用）。
Java プロジェクト向けに、フレームワークに依存しない Docker とコンテナイメージのガイダンスを提供します。Dockerfile の設計、マルチステージ Maven ビルド、jlink カスタムランタイム、Alpaquita などのマイクロランタイムディストリビューション、JVM コンテナの最適化、非 root での実行、イメージメタデータ、.dockerignore、再現可能なビルド、脆弱性スキャン、SBOM の考慮事項、本番環境向けの安全なコンテナデフォルト設定を扱います。Java Dockerfile のレビュー、Docker イメージのセキュリティ改善、Java コンテナへの jlink ランタイム追加、Java プロジェクトのコンテナ化、Java コンテナイメージサイズの最適化、Docker ビルドの再現性レビューなどに使用します。Plinth Toolkit の一部です。
Tencent Cloud EdgeOne（CDN + エッジセキュリティ）を管理します。ゾーンの一覧表示、CDNキャッシュのパージ（URL / プレフィックス / ホスト名 / 全件）、エッジのウォームアップ用URLプリフェッチ、パージ/プリフェッチタスクの状態確認、加速ドメインの管理、EdgeOne DNSレコードの一覧表示/作成/削除、WAF/セキュリティ設定の確認を依頼された場合に使用します。公式のtencentcloud-sdk-python TEOクライアントを利用します。
Trivy で Docker イメージをスキャンし、OS パッケージや言語依存関係の脆弱性、設定ミス、露出したシークレット、ライセンス違反を検出して、SARIF、CycloneDX、SPDX 形式で出力します。特定のイメージのスキャンやゲート設定、CI/CD へのイメージスキャンの組み込み、インシデント調査中のイメージ確認に使用します。キーワード：Trivy、イメージスキャン、--severity、--exit-code、SARIF、ignore file、.trivyignore。クラスター全体のスキャンやイメージ以外の対象には使用せず、performing-container-security-scanning-with-trivy を使用してください。ツールチェーンが Grype の場合は scanning-container-images-with-grype を使用してください。
Didit のスタンドアロン Age Estimation API（POST /v3/age-estimation/）を使い、1 枚の自撮り写真から年齢を推定します。同じ呼び出しでパッシブなライブネスチェックも実行します。年齢ゲートの実装、18 歳または 21 歳以上に見えるかの確認、未成年ユーザーの検出、手軽な年齢確認の追加に使用します。設定可能な年齢とライブネスのしきい値に基づき、推定年齢、ライブネススコア、Approved/Declined ステータスを返します。境界年齢の場合に ID 検証へフォールバックし、国ごとの年齢制限を適用する AGE_ESTIMATION ワークフロー機能も扱います。
JWT の暗号化の不備を調査します。alg:none による署名の削除や RS256→HS256 の鍵混同を利用すると、攻撃者は秘密情報を知らなくても、任意の身元（管理者など）のトークンを偽造できます。アプリが JSON Web Token（Authorization ヘッダー、Cookie、またはログイン応答の `eyJ...` Bearer トークン）で認証する場合に使用します。このスキルは JWT の署名・暗号の偽造（alg:none、鍵混同、kid/jku ヘッダーインジェクション）を担当します。hunt-ato は ATO の経路の一つとしての JWT、hunt-auth-bypass は SSO/SAML トークンの信頼、hunt-api-misconfig は暗号以外の JWT 処理を扱います。偽造トークンで他のユーザーのデータや管理者専用エンドポイントにアクセスできる場合は、特に重要です。
オープンソースインテリジェンス、調査、検証作業の入口です。許可された範囲を設定した後、氏名、電話番号、メールアドレス、ユーザー名、ドメイン、会社、写真、暗号資産アドレス、航空機の登録記号、IMO などの識別子を適切な調査ワークフローに振り分けます。調査、研究、検証、審査、照会、身元調査、追跡、帰属特定、人や物の発見を依頼されたときに使用します。デューデリジェンス、KYC または KYB、取引先・ベンダーリスク、制裁・PEP スクリーニング、AML、不正、ビジネスメール詐欺、支払い前の仕入先確認、採用・マーケットプレイス詐欺、内部脅威、エグゼクティブ保護、攻撃対象領域のレビュー、ジャーナリズム、ファクトチェックに関する依頼にも対応します。「これは誰？」「所有者は誰？」「これは本物？」「これはどこから来た？」「何から始めればいい？」という質問にも使用します。参照先：useosint.com/skills
[user] Alibaba Cloud の DDoS セキュリティ製品を対象にセキュリティ検査と監視を行います。DDoS Basic Protection、DDoS Native Protection、DDoS Anti-DDoS Pro/Premium に対応しています。ブラックホール／スクラビングイベント、QPS の急増・急減、L4 トラフィック異常、HTTP ステータスコード（4xx/5xx）の前期間比急増、オリジンサーバーのステータスコード異常、インスタンスのアセット一覧を照会できます。ユーザーがセキュリティ検査、DDoS 保護状態の確認、攻撃イベントの照会、トラフィック異常の調査、または DDoS セキュリティ製品のプロビジョニング状況の確認を必要とする場合にこの Skill を使用します。トリガー：“DDoS inspection”、“security check”、“DDoS protection check”、“attack event query”、“traffic anomaly”
パスワード忘れ／アカウント復旧フローの認証不備を調査します。主なパターンは5つ：（1）有効なメールと無効なメールで異なる応答を返すことによるユーザー名列挙、（2）API 応答本文へのリセットトークンの直接露出、（3）使用後も無効化されないリセットトークン（リプレイ）、（4）別の IP／ブラウザーからも使えるパスワードリセットリンク（バインドなし）、（5）リセット要求エンドポイントのレート制限なし。これらは単独の復旧フロー認証不備の原型であり、リセットメールの Host ヘッダー汚染（hunt-host-header）や完全な ATO チェーンとは異なります（hunt-ato はパスワードリセットを ATO 経路として扱います。ここで原型を検証し、そこで連鎖させます）。検出：要求からトークンの使用まで忘れたパスワードのフロー全体を追跡し、有効／無効なメールへの応答差を確認し、使用後のトークンリプレイをテストします。深刻度は中～高（列挙＝中、トークン再利用＝高、既知のメールアドレスと連鎖したアカウント乗っ取り＝致命的）。
公開されている JS バンドルからシングルページアプリの隠れたバックエンド API を特定し、その API にアクセス制御の不備や認証漏れがないかテストします。現代の偵察で特に成果の高い Web 手法の 1 つです。SPA はバックエンドの全ルートマップをブラウザーに配布しており、その背後の API には、ログインページから想定される認証ミドルウェアが欠けていることがよくあります。許可を得たエンゲージメントで、この手法により未認証の金融 API を発見しました。数百件の「重大」問題を報告した ASM スキャンは、これを完全に見逃していました。JS を多用する SPA（React/Vue/Angular/Next）、「app」/「console」/「dashboard」/「portal」サブドメイン、または偵察中に `*api*` ホストが現れた場合に使用してください。漏えいしたビルド成果物（source maps / .env / .git / asset-manifest）は hunt-source-leak が担当し、API バージョンの一覧化と動作差分の分析は hunt-shadow-api が担当します。このスキルは、稼働中の SPA の JS バンドルからバックエンドルートをマッピングし、アクセス制御の不備や認証漏れをテストします。
`@metaharness/darwin security bench`（上流の「Darwin Shield」／ADR-155）を実行します。10件の脆弱性と9件のデコイを含むコーパスでチャンピオンのセキュリティ検出ハーネスを進化させ、4つのベースライン（B0 static、B1 LLM-single-pass、B2 fixed-agent、B3 Darwin-champion）に対してTPR/FPR/patch-pass/repro/unsafeを評価します。ruflo独自のADR-155夜間セルフラーニング型セキュリティハーネスに最も近い参照実装です（PR #2417）。@metaharness/darwinがない場合は適切に機能を縮退します。
シャドー／ゾンビ／未文書化の API サーフェス（OWASP API9 不適切なインベントリ管理）を調査します。API の全バージョン履歴（v1/v2/beta/legacy のパス、ヘッダーやサブドメインによるバージョニング）を列挙し、アクセス可能なすべての OpenAPI/Swagger 仕様（Wayback Machine でしか見つからないものを含む）を取得して差分を確認します。レスポンス形状の違いだけでなく、認証／レート制限／検証に関する回帰について、旧バージョンと現行バージョンの動作差分を調べます。仕様やエンドポイント取得後の悪用（mass assignment、JWT、OData、Swagger チェーン攻撃）を担当する hunt-api-misconfig とは別であり、ホストレベルの探索を担当する hunt-subdomain とも別です。このスキルはバージョンの棚卸しと動作差分のワークフロー自体を担当します。対象にバージョン付き API パス、複数の仕様、非推奨エンドポイントに言及する変更履歴がある場合や、モバイルアプリにハードコードされたバックエンド呼び出しが現行 Web アプリより古く見える場合に使用します。
OWASP Top 10、7 言語別の詳細スキャナー（Go、TypeScript、Python、PHP、Rust、Java、C#）、サプライチェーン分析、Infrastructure as Code のスキャン、3000 項目以上のチェックリストを網羅する、51 スキル搭載の包括的な AI セキュリティスキャンスイートです。セキュリティ監査、脆弱性の発見、PR のセキュリティスキャン、コードベースへの許可済みペネトレーションテストに使用します。完全監査では、証拠に基づくカバレッジ追跡と独立した候補検証を行います。Claude Code では /security-check を直接呼び出すと、標準の監査設定メニューが開きます。
Sliver C2 チームサーバー（BishopFox の Go ベースの敵対者エミュレーションフレームワーク）をデプロイして強化します。認可されたレッドチーム作戦向けに、マルチプロトコルリスナー（mTLS、HTTP/S、DNS、WireGuard）、リダイレクター、ドメインフロンティング、複数オペレーター対応を構成します。レッドチーム演習用の耐障害性の高い C2 の構築や、ブルーチームの検出を回避する必要があるビーコン／セッションインプラントの生成に使用します。
2024～2025 年のベストプラクティスに基づき、メール到達性（SPF、DKIM、DMARC）、セキュリティ（DNSSEC、CAA）、自動化（OVH API、Cloudflare、Terraform）のために DNS ゾーンを適切に設定します。次の場合に使用します：**メール認証の設定** — 迷惑メールフォルダーへの振り分けを防ぐ SPF、DKIM、DMARC；**ドメインの保護** — DNSSEC、CAA レコード、なりすまし対策；**DNS 管理の自動化** — OVH API、Cloudflare API、Terraform；**DNS 問題のデバッグ** — dig、nslookup……
Nuxt 用の nuxt-users モジュールを設定して使用する。認証、ユーザー管理、ロール、パスワードリセット、データベース設定（SQLite / MySQL / PostgreSQL）、コマンドラインコマンド（migrate、create-user）を追加するときに使用。nuxt.config（nuxtUsers）、composables（useAuthentication、useUsers、usePublicPaths、usePasswordValidation、useNuxtUsersLocale）、コンポーネント（NUsersLoginForm、NUsersLogoutLink など）、認可（ホワイトリスト、権限）を扱う。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。