Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
Azure Front Door 開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、連携とコーディングパターン、デプロイを扱います。apex ドメイン、ルールエンジン、Private Link オリジン、TLS/WAF セキュリティ、階層移行の設定など、Azure Front Door 関連の開発タスクに使用します。Azure Application Gateway（azure-application-gateway を使用）、Azure Traffic Manager（azure-traffic-manager を使用）、Azure Load Balancer（azure-load-balancer を使用）、Azure Web Application Firewall（azure-web-application-firewall を使用）には使用しません。
ベンダーレポート、ペーストサイト、ダークウェブフォーラム、ソーシャルメディア、コードリポジトリから OSINT を収集し、指標を相関させ、Maltego や SpiderFoot などのツールで敵対者のインフラをマッピングして、動機、能力、インフラ、TTP をまとめた構造化ドシエを作成し、脅威アクターのプロファイルを構築します。アトリビューションやオープンソースインテリジェンスに基づく敵対者ドシエの作成に使用します。
クリックジャッキング、XSS、MIMEの混同、SSLストリッピング攻撃を防ぐためのセキュリティヘッダーを設定します。Content-Security-Policy、X-Frame-Options、HSTSやミドルウェアヘッダーの設定、ブラウザーのセキュリティ機能の理解に使用します。トリガー：「security headers」「CSP」「content security policy」「X-Frame-Options」「HSTS」「clickjacking」「MIME confusion」「middleware headers」
Didit Email Verification のスタンドアロン API を統合し、ワンタイムコードでメールアドレスを検証したり、コードを送信せずにアドレスのリスクをスコアリングしたりします。ユーザーがメール OTP コードの送信、メール確認コードの検証、漏えい済み・使い捨て・配信不能なメールの検出、重複またはブロックリスト登録済みアドレスのフラグ付け、メールのソーシャルフットプリントの検索、または Didit を使用した POST /v3/email/risk/ によるメールリスクのスコアリングを希望する場合に使用します。不正利用シグナル（IP、デバイス、ユーザーエージェント）、4～8 文字の数字または英数字コード、54 のテンプレート言語、ホワイトラベルのブランディング、およびリスクの高いメールに対する呼び出しごとの DECLINE ポリシーをサポートします。
テスト前に ASM/偵察の出力を所有者別にトリアージし、対象の実資産と名前空間の衝突によるノイズを分離します。自動偵察はブランド名でキーワード照合するため、一般語や辞書語を名前に含む対象では、無関係な同名企業に属する資産（リポジトリ、クラウドバケット、モバイルアプリ、漏えいデータ、タイポスクワット）が出力の大半を占めます。これは、ASM レポートの「Criticals」の大部分が誤検知で、コンボリスト、リポジトリ、モバイル、バケットの一覧も無関係な同名組織の情報で汚染されていた、認可済みエンゲージメントをもとに作成されました。あらゆるエンゲージメントの開始時、ASM/偵察/OSINT データセットを受け取った直後、テストを始める前に使用します
Azure Firewall の開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、統合とコーディングパターン、デプロイを扱います。Azure Firewall SKU のデプロイ、ルール/DNAT/SNAT の調整、IP/SNAT ポートの拡張、TLS 検査の有効化、ハブアンドスポーク／強制トンネリングの統合、および Azure Firewall 関連のその他の開発タスクで使用します。Azure Firewall Manager（azure-firewall-manager）、Azure Virtual Network（azure-virtual-network）、Azure Virtual WAN（azure-virtual-wan）、Azure Web Application Firewall（azure-web-application-firewall）には使用しません。
Python（dnspython、python-whois、shodan、networkx）で敵対者のインフラを追跡する自動システムを構築します。パッシブ DNS、証明書透明性ログ、WHOIS レコード、IP 情報の補完を横断的に調査し、脅威アクターの C2 ネットワークをマッピングして、既知のパターンに一致する新規登録ドメインを検出します。既知の指標から関連する C2 インフラを発見する場合や、脅威アクターのネットワークマップを継続的に更新する場合に使用します。
クリックジャッキングを調査します。X-Frame-Options / CSP frame-ancestors がないと、攻撃者が対象ページを不可視の iframe に埋め込み、被害者に見えないボタンをクリックさせる可能性があります（UI リダressing）。対象はログインフロー、送金、アカウント設定、OAuth 確認ページです。ページを取得した後、実際のブラウザーでフレームに埋め込めること、および機密性の高い状態変更操作がクロスサイトコンテキストでも実行されることを実証してください（SameSite cookies / framebusting JS により阻止される場合があります）。ヘッダーがないだけでは検出結果になりません。
Secure Vibe Coding OS の多層防御セキュリティアーキテクチャを理解します。セキュリティ全体の方針、5 層のセキュリティスタック、OWASP スコア、または他のセキュリティスキルを使うタイミングを理解する際に使用します。「security architecture」「defense in depth」「security layers」「how does security work」「OWASP score」「security overview」「security principles」などがトリガーです。
アプリケーション、API、認証、認可、データ、依存関係、secrets、インフラストラクチャの脅威モデリングとセキュリティレビューを行います。信頼境界、アイデンティティ、外部入力、機密データ、セキュリティレビューに関わる変更に使用します。新たな攻撃対象領域を持つ機能の前の脅威モデリングにも使用します。証拠なしに安全性を断言しないでください。パイプラインやデプロイ認証情報の強化には `$specsfy-specialist-delivery-engineering` を使用します。
金融機関、重要なICTサービス、サードパーティICTプロバイダーとの連携、またはDORAに基づくオペレーショナルレジリエンス義務を支援する可能性のあるJavaエンタープライズシステムのレビュー、設計、変更時に使用します。例：DORAのICTリスク管理策についてJavaプラットフォームをレビューする、金融サービスのオペレーショナルレジリエンスの証拠を設計する、インシデント、継続性、バックアップ、復旧、サードパーティICT管理策を追加する、本番リリース前にレジリエンステストと監視を評価する。Plinth Toolkitの一部。
Alibaba Cloud Security Center (SAS) CWPP のホストセキュリティアラート対応スキルです。Cloud Security Center のセキュリティアラートの照会、分析、対応に使用します。トリガー："security alert"、"alert handling"、"CWPP alert"、"Cloud Security Center alert"、"SAS alert"、"Aegis alert"、"view alerts"、"handle alerts"
Didit Phone Verification のスタンドアロン API を統合し、ワンタイムコードで電話番号を検証したり、コードを送信せずに番号のリスクをスコアリングしたりします。ユーザーが SMS、WhatsApp、Telegram、音声、RCS、Viber、Zalo コードの送信、電話確認コードの検証、使い捨てまたは VoIP 番号の検出、重複またはブロックリスト登録済み番号のフラグ付け、番号のキャリア・回線種別・ソーシャルフットプリントの検索、または Didit を使用した POST /v3/phone/risk/ による電話リスクのスコアリングを希望する場合に使用します。SMS の自動フォールバック、ブランド SMS 送信者名、不正利用シグナル、呼び出しごとの DECLINE ポリシーをサポートします。
RAG パイプラインのベクトルストア／埋め込みレイヤーの弱点を調査します（OWASP LLM08 Vector and Embedding Weaknesses）。セッションやユーザーをまたいで残存するコーパス汚染（hunt-llm-ai が扱う一度限りの間接プロンプトインジェクションとは別）、テナント間のベクトルデータベース IDOR（Pinecone/Weaviate/Chroma/Milvus/Qdrant/pgvector への未認証またはスコープ未指定のクエリ）、類似検索結果に含まれるソーステキスト／メタデータの漏えい、敵対的な埋め込み近接性による検索の乗っ取り（RAG における「SEO poisoning」）が対象です。共有ナレッジベースを持つアプリ、チャットボットに取り込む文書のアップロード機能、または直接到達可能なベクトル DB ポートを持つアプリが対象です。検証では、2 つ目のクリーンなセッション／アカウントにも汚染された結果が引き継がれるか、テナント間のアーティファクトを個別に検証できる必要があります。作話は発見事項にならず、基準は hunt-llm-ai と同じです。対象が RAG ベースである場合、ベクトル DB ポートを公開している場合、または他のユーザーのクエリで後から取得される文書をユーザーがアップロードできる場合に使用します。
ブルートフォース攻撃、スパム、リソースの不正使用を防ぐためにレート制限を実装します。エンドポイントを自動攻撃から保護する、APIの不正使用を防ぐ、リクエスト頻度を制限する、インフラコストを管理する場合に使用します。起動語句：「rate limiting」「rate limit」「brute force」「prevent spam」「API abuse」「resource exhaustion」「DoS」「withRateLimit」「too many requests」「429 error」。
Starchild Auth SDK：1 つの SDK であらゆる Web アプリに OAuth ログインを追加します。プロジェクトへの Starchild ログインの統合（例：React アプリへの Starchild サインイン追加、iamstarchild.com を使った OAuth の設定、Starchild Auth SDK によるログイン／ログアウトの実装）に使用します。ローカルでの OAuth／CORS テスト（localhost:6066 の Web、サードパーティの localhost オリジン、ブラウザーと Node）のガイダンスにも使用します
AI、LLM、AI エージェント、RAG、ツール呼び出し、ワークフロー自動化、モデルベースの意思決定支援を利用し、EU AI Act の規制への配慮が必要な Java エンタープライズシステムのレビュー、設計、変更に使用します。Java AI システムの EU AI Act 対応状況のレビュー、企業ツールを使う AI エージェントのガバナンス設計、LLM ワークフローへの人間による監督と監査可能性の追加、本番リリース前の RAG やモデル駆動型意思決定支援の評価などに使用します。Plinth Toolkit の一部です。
Azure Application Gateway の開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、統合とコーディングパターン、デプロイを扱います。AKS/AGIC と連携する App Gateway v2/for Containers、WAF、mTLS、Private Link、ヘッダー/URL 書き換えの構成や、その他の Azure Application Gateway 関連の開発タスクで使用します。Azure Front Door（azure-front-door を使用）、Azure Load Balancer（azure-load-balancer を使用）、Azure Virtual Network（azure-virtual-network を使用）、Azure Web Application Firewall（azure-web-application-firewall を使用）には使用しません。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。