Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
デプロイ前にセキュリティ機能をテストし、実装を検証します。CSRF 保護、レート制限、入力検証のテスト、セキュリティヘッダーの検証、セキュリティ監査の実施、デプロイ前セキュリティチェックリストの確認に使用します。トリガーには「test security」「security testing」「verify security」「security checklist」「pre-deployment」「test CSRF」「test rate limit」「security verification」が含まれます。
Azure Sentinel の開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、統合とコーディングパターン、デプロイを扱います。Sentinel データコネクター、分析ルール、プレイブック、ASIM、データレイク統合の構成や、その他の Azure Sentinel 関連の開発タスクで使用します。Azure Defender For Cloud（azure-defender-for-cloud を使用）、Azure Defender For Iot（azure-defender-for-iot を使用）、Azure Monitor（azure-monitor を使用）、Azure Security（azure-security を使用）には使用しません。
Didit Proof of Address スタンドアロン API（POST /v3/poa/）を統合し、住所書類を検証します。ユーザーが住所証明の検証、公共料金請求書・銀行取引明細書・政府機関からの書簡の確認、書類上の住所の抽出とジオコーディング、書類の最大有効期間の設定、書類と想定される氏名・住所・国の照合、編集された PDF の検出、または Didit による PoA チェックを希望する場合に使用します。Approved または Declined と、項目別の警告、解析された住所と座標、発行者、日付、名義人、銀行フィールド、QR／バーコードデータを返します。
例外条件の処理不備を調査します。エンドポイントに不正または想定外の入力（型違い、壊れた JSON、サイズ超過フィールド、ヌルバイト）を与え、フェイルオープンや内部情報の漏えいを引き起こします。例として、ORM の内部情報、サーバーのファイルパス、ライブラリのバージョン、言語のトレースバックを開示する詳細なスタックトレースやフレームワークのエラーページが挙げられます。JSON API、フォーム、クエリパラメーターなど、入力を受け付けるすべてのエンドポイントで使用します。より深い攻撃に利用できる内部構造が漏えいする場合、深刻度は中〜高です。
HTML インジェクションを調査します。ユーザー入力がサニタイズされずにレスポンス内で生の HTML として表示されると、攻撃者が任意の HTML タグを挿入できます（必ずしも JavaScript を挿入できるとは限りません）。XSS より深刻度は低いものの、挿入したフォームを使ったフィッシング、UI の操作、認証情報の窃取が可能です。検索結果、プロフィール欄、コメント、エラーメッセージ、フィードバックフォームなど、テキスト表示面のテスト時に使用します。JavaScript を実行するマークアップの場合は hunt-xss にエスカレーションしてください。
XSS やインジェクション攻撃を防ぎ、データ品質を確保するためにユーザー入力を検証・サニタイズします。フォームの検証、ユーザー入力のサニタイズ、クロスサイトスクリプティングの防止、Zod スキーマの使用、ユーザー生成コンテンツの処理が必要な場合に利用します。トリガーには「input validation」「validate input」「XSS」「cross-site scripting」「sanitize」「Zod」「injection prevention」「validateRequest」「safeTextSchema」「user input security」が含まれます。
レッドチーム演習やワイヤレスセキュリティ評価向けの無線／802.11 攻撃手法。モニターモードの設定、WPA/WPA2-PSK ハンドシェイクのキャプチャと PMKID 攻撃、WPA3 SAE のダウングレードと Dragonblood、WPA-Enterprise (EAP) 攻撃（MSCHAPv2 のクラック、EAP-TLS 証明書の窃取、悪意のある RADIUS イービルツイン）、Karma / Known Beacons / Mana イービルツイン攻撃、キャプティブポータルを使ったフィッシング、KRACK と FragAttacks、WPS Pixie Dust、認証解除・関連付け解除攻撃、不正 AP の構築（hostapd-mana）、802.1X の回避、MAC ランダム化の無効化、BLE/Zigbee/IEEE 802.15.4 のサイドバンド、Wi-Fi 6/6E/7 の考慮事項を扱います。無線ペンテストの範囲策定、組織内のウォードライビング、企業の無線ネットワーク分割のテストに使用します。
情報漏えいを防ぎ、適切なエラーレスポンスを返すための安全なエラー処理を実装します。API ルートでのエラー処理、スタックトレースの露出防止、環境に応じたエラーメッセージの実装、エラーハンドラーユーティリティの使用が必要な場合に利用します。トリガーには「error handling」「handle errors」「error messages」「information leakage」「stack trace」「handleApiError」「production errors」「error responses」が含まれます。
Azure Defender For Cloud の開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、統合とコーディングパターン、デプロイを扱います。VM/コンテナー、SQL/ストレージ、マルチクラウドコネクター、JIT アクセス、Defender for Cloud API の保護や、その他の Azure Defender For Cloud 関連の開発タスクで使用します。Azure Security（azure-security を使用）、Azure Sentinel（azure-sentinel を使用）、Azure DDoS Protection（azure-ddos-protection を使用）、Azure External Attack Surface Management（azure-external-attack-surface-management を使用）には使用しません。
Azure Active Directory B2C の開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、統合とコーディングパターン、デプロイを扱います。B2C ユーザーフロー/カスタムポリシーの構築、IdP/MFA の構成、API の保護、CI/CD の自動化、Sentinel による監視など、Azure Active Directory B2C 関連の開発タスクで使用します。Azure Role-based access control（azure-rbac を使用）、Azure Information Protection（azure-information-protection を使用）、Azure Security（azure-security を使用）、Azure Sentinel（azure-sentinel を使用）には使用しないでください。
Azure Private Link 開発に関する専門知識を提供します。ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成を扱います。Private Endpoint、DNS ゾーン、NSG/NSP、Azure Firewall のトラフィック検査、Private Resolver の構成など、Azure Private Link 関連の開発タスクで使用します。Azure Virtual Network（azure-virtual-network を使用）、Azure Virtual Network Manager（azure-virtual-network-manager を使用）、Azure Virtual WAN（azure-virtual-wan を使用）、Azure ExpressRoute（azure-expressroute を使用）には使用しません。
Azure VPN Gateway の開発に関する専門知識を提供します。トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、制限とクォータ、セキュリティ、構成、統合とコーディングパターン、デプロイを扱います。S2S/P2S トンネル、BGP/NAT、IPsec/IKE 暗号化、VPN クライアント認証、クロスクラウド／ExpressRoute VPN の構成、および Azure VPN Gateway 関連のその他の開発タスクで使用します。Azure Virtual Network（azure-virtual-network）、Azure Virtual WAN（azure-virtual-wan）、Azure ExpressRoute（azure-expressroute）、Azure Application Gateway（azure-application-gateway）には使用しません。
行レベルセキュリティ（RLS）の適用、ゼロトラストデータベースアーキテクチャ、フォレンジック監査証跡を専門とするデータベースセキュリティ監査ツールです。Supabase RLS ポリシー、Postgres セキュリティ、Convex auth guards、PGAudit の構成、JIT アクセス制御、データベース固有のコンプライアンス検証を扱います。データベースアクセス方針の監査、Supabase または Postgres での RLS 実装、Convex auth guards の構成、監査ログの設定、データベースセキュリティのレビュー、データベースレベルのコンプライアンス要件の検証に使用します。
エンドツーエンドの iOS レッドチームパイプライン — IPA の取得（App Store からの抽出、TestFlight、企業向け／アドホックのサイドロード）、class-dump/Hopper/Ghidra による静的解析、Info.plist + entitlements + Keychain のシークレット抽出、App Transport Security（ATS）の設定ミスと証明書ピンニングの回避（frida-ios-dump、objection、SSL Kill Switch 2）、URL スキーム／Universal Link の乗っ取り、エクスポートされたサービスの列挙、Frida によるランタイム計測。モバイルアプリカタログの iOS 側を対象とする apk-redteam-pipeline の補完ツールです。対象に iOS アプリ（App Store の掲載ページ、TestFlight リンク、企業 MDM 配布）がある場合、Web サーバー上で IPA URL が見つかった場合、または偵察後に Apple 開発者アカウントとともに「iOS app」／「mobile app」が対象範囲に含まれる場合に使用します。
Stellarスマートコントラクト開発（Rust、soroban-sdk）。プロジェクトのセットアップ、コントラクトの構造、ビルド／デプロイのワークフローを扱うエントリーポイントで、このディレクトリ内の3つの関連ファイルに案内します。development.md（ストレージ／TTL、認証、コントラクト間呼び出し、トークン、イベント、エラー、アップグレード、手数料、トラブルシューティング）、testing.md（単体、ファジング、プロパティ、フォーク、ミューテーション、統合テスト）、security.md（脆弱性の種類、チェックリスト、ツール、監査）。Stellarスマートコントラクトの作成、テスト、レビュー、セキュリティ対策、デバッグ、リリース時に使用します。ユーザーが「Soroban」と呼ぶもの、つまりSorobanコントラクト、soroban-sdk、Sorobanの認証／ストレージ／TTLエラー、SEP-41トークン、コントラクトコードからのSAC統合も対象です。
ユーザーがAlibaba Cloud Container Service for Kubernetes（ACK）を操作するときに使用します。クラスターのライフサイクル（作成／変更／削除／アップグレード）、ノードプールとノード（作成、変更、削除、修復、CVE修正）、アドオン（インストール／アップグレード／アンインストール）、KubeConfigとRBAC（RAMユーザー用の発行、付与／取り消し）、セキュリティとポリシー（CVEスキャン／修正、ポリシーガバナンス、KMS、削除保護）、ログ／監査／アラート、インテリジェント運用保守（確認／検査／診断／自動修復）、非同期タスク（追跡／一時停止／再開／キャンセル）、テンプレート、自動スケーリング、タグとクォータを扱います。トリガー：ACKクラスターの作成／アップグレード／削除、Proへの移行、ノードプールのスケーリング、ノードのCVE修正、アドオンのインストール／削除、kubeconfigの取得／取り消し、RBACの付与、監査ログの有効化、検査の実行、クラスターの診断、task_idの追跡、csエラーのデバッグ、Forbidden.RAM、kubectlで接続できない場合。用語：ACK、container service、k8s cluster、nodepool、addon、AutoMode、Terway、Flannel、ForRegion、kubeconfig、RBAC、CVE。
TanStack Start 向けのサーバーサイド認証プリミティブ：セッション Cookie（HttpOnly、Secure、SameSite、__Host- プレフィックス）、createServerFn とミドルウェアによるセッションの読み取り・発行・破棄、state と PKCE を使った OAuth 認可コードフロー、パスワードリセット時のアカウント列挙対策、非 GET RPC の CSRF 対策、認証エンドポイントのレート制限、権限変更時のセッションローテーション。ルーティング側では router-core/auth-and-guards と組み合わせます。
55 種類以上の脆弱性に対応するプロフェッショナルなコードセキュリティ監査スキル。WooYun の実際の脆弱性事例 88,636 件（2010～2016 年）を活用します。セキュリティ監査、脆弱性スキャン、侵入テストの準備、セキュリティ観点のコードレビューに使用します。対応言語は Java、Python、Go、PHP、JavaScript/Node.js、C/C++、.NET/C#、Ruby、Rust の 9 種類です。全言語共通の必須検出項目 143 件と、言語別チェックリストを収録。SQL インジェクション、XSS、RCE、デシリアライゼーション、SSRF、JNDI インジェクション、JDBC プロトコルインジェクション、認証バイパス、ビジネスロジックの欠陥、競合状態のほか、LLM、Serverless、Android などの最新のセキュリティ領域を対象とします。WooYun との統合により、統計に基づくパラメーター優先順位、バイパス手法ライブラリ、ロジック脆弱性パターン、実例を参照できます。v1.0：Docker デプロイ検証フレームワークを含む初回公開リリース。
@djpanda/convex-tenants と @djpanda/convex-authz を使って、Convex のマルチテナント組織とチームを管理します。（1）Convex でマルチテナント SaaS を設定または統合する場合、（2）組織、チーム、メンバー、招待を扱う場合、（3）テナントの authz 権限を設定する場合、（4）TenantsProvider、OrganizationSwitcher、または関連する React コンポーネントを使用する場合、（5）ユーザーが convex-tenants、@djpanda/convex-tenants、または Convex のマルチテナントに言及した場合に使用します。
外部ユーザーが Domo ダッシュボードを閲覧または操作するためにログインを必要とするプロジェクトで使用します。ユーザーが何と呼ぶかは問いません。クライアント、顧客、パートナーにアカウントを提供し、Domo コンテンツ（各自のデータのみ、ブランド設定、ユーザーごとのフィルタリング）を見せたい場合に適したスキルです。認証、ユーザー管理、データ分離、Domo の埋め込み統合を含む、ゼロからの構築全体を扱います。「クライアントにログインしてダッシュボードを見せる」「分析へのアクセスを販売する」「顧客向けのホワイトラベルレポート」「Domo を使ったクライアントポータル」「Domo データを製品化する」「外部ユーザーが各自のダッシュボードを見られるようにする」といった要望が対象です。既に稼働中のポータルがあり、特定のサブ機能だけが必要な場合に限り対象外とします（編集埋め込み → edit-embed、JS API フィルター → jsapi-filters、プログラムによるフィルター → programmatic-filters）。
オフェンシブセキュリティ、レッドチームの情報収集、バグバウンティの偵察向けの包括的な OSINT 手法スキルです。ドメイン偵察、メール収集、ソーシャルメディアのプロファイリング、GitHub／コード漏えい、Shodan／Censys の列挙、漏えいデータの検索、従業員のプロファイリング、インフラのマッピング、暗号資産の追跡、地理空間インテリジェンス、AI 支援の分析ワークフローを扱います。対象ドメインや組織の偵察、個人や団体の調査、暗号資産の資金移動の追跡、画像やイベントの位置特定、攻撃対象領域マップの作成に使用します。
Wi-Fi 偵察手法：アダプター選定、モニターモードとパケットインジェクションの設定、規制ドメインへの対応、複数帯域の電波環境マッピング、非公開 SSID の検出、BSSID/ESSID/チャネル/PMF/暗号化のフィンガープリント、クライアントのプローブ分析、ベンダー OUI の検索、Kismet/airodump-ng/Wigle によるウォードライビング、後続の攻撃に向けた構造化された電波環境データの取得を扱います。無線の調査を開始する際、能動的な攻撃の前に標的マップを作成するために使用します。2.4 GHz、5 GHz、6 GHz（Wi-Fi 6E）帯域と各帯域のアダプター互換性をカバーします。
サーバー側のプログラムによるフィルターとデータセット切り替えを使い、埋め込み Domo ダッシュボード／カードで各閲覧者に表示するデータを制御します。OAuth → 埋め込みトークンのフロー、標準フィルター、SQL フィルター（OR/BETWEEN/LIKE）、データセットごとの指定、マルチテナント構成向けの datasetRedirects、トークンサイズ制限を扱います。埋め込み時に閲覧者、ロール、テナントごとにデータを制限する場合に使用します。クライアント側の JS API フィルタリングには使用せず、jsapi-filters を使用してください。
プロフェッショナルレベルの Solidity スマートコントラクトセキュリティ監査ツールです。包括的な監査または対象を絞ったレビュー（セキュリティ脆弱性、Gas 最適化、ストレージ最適化、コードアーキテクチャ、DeFi プロトコル分析）を実施します。スマートコントラクト監査、セキュリティレビュー、脆弱性評価、Gas／ストレージ最適化分析、コード品質レビューの依頼や、Solidity コードのセキュリティまたは品質上の懸念を分析する場合に使用します。すべての Solidity バージョンに対応し、バージョン固有の脆弱性を検出します。OWASP Smart Contract Top 10 (2025) と実世界のエクスプロイトパターンに基づいています。
Domo の埋め込み編集エクスペリエンスを設定します。外部ユーザーは埋め込み iframe を介して Domo コンテンツを作成、編集、保存、共有できます。Identity Broker、JWT 認証、ロールベースのアクセス（Admin／Privileged／Editor／Participant）、インスタンスマッピング、編集 URL の生成を扱います。Domo の編集モードの埋め込みに使用します。読み取り専用の埋め込み（programmatic-filters を使用）やクライアント側のフィルタリング（jsapi-filters を使用）には使いません。
セッション履歴から安全な Bash コマンドを見つけ、settings.json に自動適用して Claude Code の権限を最適化します。任意のコーディングエージェントから実行できますが、Claude Code 専用です。権限プロンプトが多すぎる、権限疲れを感じる、権限を最適化したい、許可リストを設定したい場合に使用します。「権限を最適化」「権限プロンプトを減らす」「コマンドを許可リストに追加」「権限プロンプトが多すぎる」「権限疲れ」「権限設定」や、承認を頻繁にクリックすることへの不満がトリガーです。
Kamae（構え）—堅牢なサーバーサイド TypeScript 設計。判別可能なユニオン、純粋な状態遷移、Result 型、スキーマ検証済みの境界、PII 保護による関数型ドメインモデリング。次の場合に有効化：TypeScript のドメインモデル、ユースケース、リポジトリ、状態遷移、エラー処理、境界検証、サーバーサイドの PII 処理を実装する場合、ビジネスロジックの型を設計する場合、TS でエンティティ／値オブジェクトのセマンティクスを実装する場合。対象外：フロントエンドの React/Vue コンポーネント、ブラウザーコード、ビルドツール、コード生成スクリプト、純粋な Infrastructure as Code、ドメインロジックに関係のないコード
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。