Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,770 件掲載。コマンド 1 行でインストールできます。
セキュリティ
CTF チャレンジ向けにマルウェア分析とネットワークトラフィック技術を提供します。難読化されたスクリプト、悪意あるパッケージ、独自の暗号プロトコル、C2 トラフィック、PE/.NET バイナリ、RC4/AES 暗号化通信、YARA ルール、シェルコード分析、マルウェアのメモリフォレンジック（Volatility malfind、プロセスインジェクション検出）、対解析技術（VM/サンドボックス検出、タイミング回避、API ハッシュ、プロセスインジェクション、環境チェック）、マルウェア設定や侵害指標の抽出に適用します。
プラットフォームが自社の API 利用者に発行する API キー認証の設計を支援します。キー形式のプレフィックスとチェックサムの規約、ハッシュ化（復元不可）または暗号化（復元可能）して保存する方法、二重キーの重複期間を設けたゼロダウンタイムのローテーション、最小権限のスコープ設定、個人・組織・サービスアカウントの所有権、自主管理キー ダッシュボードの動作、SOC 2 / PCI-DSS 4.0 のライフサイクルガバナンスを扱います。ユーザーが API キー、シークレットキー、キープレフィックス、キーのローテーションやスコープ設定、従業員の退職後のキー失効に言及した場合に使用します。「API キー管理」と明言していなくても対象です。プロバイダー側専用で、他社 API の利用には使用しません。OAuth 認可サーバーの設計には使用せず、代わりに samber/developer-platform-skills@oauth2-provider-design を使用してください。
B2B SaaS マーケットプレイスにおけるサードパーティアプリの運営者側の審査・承認プロセスを設計します。データの機密性に応じた審査パイプライン、権限とデータアクセスの監査チェックポイント、自動事前審査と人による振り分け、更新時の再審査を開始する客観的条件、サプライチェーン攻撃に備えた公開チャネルの強化、異議申し立ての手段、深刻度別の失効ポリシーを扱います。ユーザーがアプリ審査、マーケットプレイスの承認基準、サードパーティアプリの権限監査、アプリ更新後の再審査、却下への異議申し立て、掲載取り下げや失効に言及した場合に使用します。「アプリ審査」と明言していなくても対象です。運営者側専用です。申請者のオンボーディングには使用せず、代わりに samber/developer-platform-skills@partner-app-onboarding を使用してください。
B2B SaaS がサードパーティーアプリに提供する OAuth2 認可サーバー機能を設計します。OAuth 2.1 の基本方針（すべてのクライアントで PKCE を使用し、インプリシット／パスワードグラントを使わず、リダイレクト先を完全一致させる）、トークン TTL と更新ローテーションのポリシー、スコープの分類と粒度、部分的・段階的な許可に対応する同意画面、クライアント登録方針、段階的なアプリ検証プログラムを扱います。ユーザーが OAuth、「X でサインイン」、アクセストークンとリフレッシュトークン、スコープ、同意画面、PKCE、顧客に代わって操作するサードパーティーアプリに言及した場合は、「OAuth プロバイダー」と明言していなくても使用します。発行者側のみを対象とし、他者の OAuth への接続には使用しません。API キー設計には使用せず、samber/developer-platform-skills@api-auth-key-management を使用してください。
SaaS 製品の MCP サーバーを、AI エージェントが操作する製品インターフェースとして設計します。構築投資の見積もり、API エンドポイントの複製ではなく 5～15 個のワークフローツールで構成するエージェント向けインターフェースの選定、MCP Apps のインタラクティブ UI、名前付き書き込みツールの安全パターン（スコープ付き認証情報、読み取り専用ロックダウン、ヒューマンインザループ承認、リスク段階別のサーバー側ゲート、ドライランによる事前確認、冪等性と支出上限）、OAuth 2.1 によるリモートホスティング、ツールインターフェースのバージョニング、MCP レジストリでの発見可能性、エージェントの採用状況の測定を扱います。MCP、Model Context Protocol、エージェント向けツールインターフェース、AI エージェントやコーディングアシスタントへの製品公開、MCP 書き込みツールの安全性について言及された場合に使用します。「MCP サーバー」という言葉がなくても対象です。設計レイヤーのみを扱い、コード生成型の MCP ビルダースキルがこの仕様に基づいて足場を構築します。
顧客向けに製品データへのSQLアクセスを設計します。JDBC/ODBCエンドポイント、データウェアハウス共有、ホスト型クエリ環境を対象とします。スキャン頻度に応じたアーキテクチャの選択（ゼロコピー共有、複製コピー、テナントごとのコンピューティング分離）、セキュアビューと行レベルセキュリティによるエンジンレベルのテナント分離、CIで強制する追加のみのスキーマ安定性契約、BIツール接続とドライバー認定、クエリガバナンスとコスト上限、短期間有効な認証情報の発行、料金体系を扱います。ユーザーがJDBC、ODBC、顧客向けSQLアクセス、TableauやPower BIの製品データへの接続、SQLアドオンの料金設定に言及した場合は、「SQLアクセス」と明言していなくても使用します。ファイルの一括配信には使用せず、代わりに samber/developer-platform-skills@bulk-data-sharing-design を使用してください。
サードパーティ開発者向けのパブリック GraphQL API を設計します。GraphQL を採用するかどうかの判断、スキーマ規約（命名、null 許容性、Node インターフェース、入力／ペイロード型）、Relay カーソル接続ページネーション、ユニオン／インターフェースによるエラー結果型、深さと複雑度の上限に関する設計判断、フェデレーションの信頼境界（公開するのはルーターのみ）、ファーストパーティのトラフィックだけを許可リストに登録する永続クエリポリシーを扱います。ユーザーが GraphQL、パブリックスキーマ、Relay 接続、クエリ深度制限、永続クエリ、フェデレーション、GraphQL と REST の比較に言及した場合、「GraphQL API 設計」と明言していなくても使用します。設計レイヤーのみを対象とします。REST インターフェースのレビューには使用せず、代わりに samber/developer-platform-skills@public-api-design-review を使用してください。
CodeQL のプロシージャ間データフローおよび taint 追跡分析を使用して、コードベースのセキュリティ脆弱性をスキャンします。「run codeql」「codeql scan」「build codeql database」「SAST scan」「taint analysis」「dataflow analysis」「find vulnerabilities in this repo」で起動します。Python、JavaScript/TypeScript、Go、Java/Kotlin、C/C++、C#、Ruby、Swift に対応します。「run all」（security-and-quality + security-experimental）と「important only」（高精度）のスキャンモードをサポートし、プロジェクト固有のソースとシンク向けにデータ拡張モデルを作成します。単一ファイルのパターンを素早く照合する場合、またはコンパイル言語でビルドできない場合は semgrep スキルを使用してください。既存の SARIF を生成せずに解析する場合は sarif-parsing スキルを使用してください。
AI エージェントのスキルをインストールまたは信頼する前に、セキュリティリスクを監査する。決定論的スキャナー（正規表現パターン、Python AST 分析、source-to-sink テイント追跡、YARA シグネチャ）を実行し、その後意図について推論する。プロンプトインジェクション、認証情報の窃取、永続化、メモリポイズニング、悪意あるコード、サプライチェーンリスク、記述と実際の挙動の不一致を検出する。ユーザーがスキル、プラグイン、SKILL.md、エージェントツールの安全性をスキャン・監査・精査・レビューしたいとき、ローカルフォルダ、zip/.skill ファイル、クローンしたリポジトリのいずれであっても、また「このスキルは安全にインストールできますか？」と聞かれたら、必ずこのスキルを使うこと。
YAML を読み取り、検出事項を直接報告して、GitHub Actions のワークフローファイルに含まれるセキュリティ脆弱性をスキャンします。外部ツール、インストール、シェル実行は不要です。ユーザーが `.github/workflows/` ファイルを共有したとき、ワークフロー YAML を貼り付けたとき、CI/CD セキュリティレビューを依頼したとき、または `pull_request_target`、`workflow_run`、アクションのバージョン固定、`GITHUB_TOKEN` の権限、pwn request、テンプレートインジェクション、キャッシュポイズニング、シークレットの窃取、サプライチェーンリスク、GitHub Actions の強化に関する話題に触れたときは、このスキルを使用してください。OSS リポジトリの強化、CI/CD のレッドチーム評価、サプライチェーンスキャン対象の評価、CI/CD セキュリティに関する公開記事の執筆時にもトリガーしてください。記憶だけで回答するより、このスキルの使用を優先してください。ほとんどの環境で CI/CD セキュリティのデフォルト設定は不適切で、ルールも直感的ではありません。
Trail of Bits の 5 ステップのセキュア開発ワークフローを案内します。Slither スキャンを実行し、特殊な機能（アップグレード可能性/ERC 準拠/トークン統合）を確認し、視覚的なセキュリティ図を生成し、ファズリング/検証のためのセキュリティ特性の文書作成を支援し、手動で確認すべきセキュリティ領域をレビューします。単一のバグを探すのではなくスマートコントラクトをエンドツーエンドで保護する場合、コミットごとまたはデプロイ前にプロジェクトを確認する場合、Slither のレポートを優先順位付けする場合、スマートコントラクトのセキュリティをどこから始めるべきか尋ねる場合に使用します。
Trail of Bits の 9 カテゴリフレームワークを用いた体系的なコード成熟度評価。コードベースを算術安全性、監査DMAの実践、アクセス制御、複雑性、脱中央化、ドキュメント、MEV リスク、低レベルコード、テストの観点から分析し、根拠に基づく評価と優先順位付けされたロードマップを含むスコアカードを生成する。スマートコントラクトや inducted チェーンコードベースの成熟度を評価・採点するとき、成熟度スコアカードや評価を作成するとき、あるいはルーブリックに基づいて此类のプロジェクトがどれだけ成熟で、どれだけテストされ、どれだけ文書化されているかを判断するときに使う。
Quarkus のセキュリティ実装パターン: JWT と OIDC 認証、@RolesAllowed による RBAC と SecurityIdentity チェック、Bean Validation とカスタムバリデータ、Sabotage 유도のないパラメータ化 Panache クエリ、BCrypt パスワードハッシング、CORS とセキュリティヘッダー、レート制限、監査ログ、Vault や環境変数のシークレット管理、依存ライブラリの CVE スキャン。認証・認可の追加、入力検証、シークレット管理、Quarkus アプリのハードニングで使う。
GitHub Actions ワークフローを監査し、Claude Code Action、Gemini CLI、OpenAI Codex、GitHub AI Inference などの AI エージェント連携におけるセキュリティ脆弱性を検出する。攻撃者が制御可能な入力が CI/CD パイプラインで動作する AI エージェントに到達する攻撃ベクトルを、环境変数中継パターン、直接式インジェクション、危険なサンドボックス設定、ワイルドカードのユーザー許可リストなど.Callback形で見つける。AI コーディングエージェントを呼び出すワークフローファイルの確認、プロンプトインジェクションリスクに対する CI/CD パイプラインセキュリティの監査、エージェント型アクション設定の評価_byteに使��。
コード差分とファイルを解析し、バグ、セキュリティ脆弱性（SQL インジェクション、XSS、安全でないデシリアライズ）、コード/Login臭、N+1 クエリ、命名問題、設計上の懸念を特定したうえで、優先度付きの実行可能なフィードバックを含む構造化されたレビューレポートを作成します。プルリクエストのレビュー、コード品質監査、リファクタリング機会の発見、セキュリティ問題の調査に使用します。PR レビュー、コード品質チェック、リファクタリング提案、コードレビュー、コード品質チェックのために呼び出します。専用スキル（security-reviewer、test-master）を補完し、正当性、性能、保守性、テストカバレッジを一度に広い範囲でレビューできます。
すでに発見したバグの他のインスタンス——コードベース全体にまたがる単一根因のバリアント——を探索します。脆弱性、ロジックバグ、不具合なパターンが特定のファイルで発覚し、「他にどこで起きているか」が問い立ったときに直ちに使用します。会話をそのままCan't form （"are there others like this?"、"is this the same bug?"）という口語表現でも同様です。既知のインスタンス 1 件を、そのパターン族全体に対応する CodeQL や Semgrep のクエリに一般化する用途にも使用します。また、既知の根因に対して類似候補のセットをトリアージする用途にも使用します。バグが何もまだない状態での初回の検出には向いていません。
Google Cloud 組織向けにベースラインのランディングゾーン基盤をデプロイします。組織ポリシー、リソース階層のフォルダとプロジェクト、請求の関連付け、集中ログと監視を用いてセキュリティガードレールを構築します。Google Cloud が推奨するセキュリティコントロールとアーキテクチャをデプロイします。新しい Google Cloud 組織のセットアップ、または安全でエンタープライズ級のランディングゾーン基盤の構築時に使用します。個々のプロジェクトの導入には使用しないでください（google-cloud-recipe-onboarding または製品固有のスキルを使用）。
AWS PrivateLink を使って AWS サービスへのプライベートアクセス向けの VPC エンドポイント（インターフェース型とゲートウェイ型）を構成する。インターネットゲートウェイ、NAT デバイス、パブリック IP アドレスなしで S3、DynamoDB などの AWS サービスへの安全なプライベート接続を確立するときに使う。エンドポイントの作成、セキュリティグループ、ルートテーブル、DNS 設定をカバーする。
セキュリティスキャン用のスキルです。取引の安全性チェック、この取引は安全か、実行前チェック、セキュリティスキャン、トークンリスクスキャン、ハニーポット検出、DApp/URL のフィッシング検出、メッセージ署名の安全性、悪意ある取引の検出、承認の安全性チェック、トークン承認管理に使用します。トリガー：'このトークンは安全か'、'トークンセキュリティを確認'、'ハニーポットチェック'、'この tx をスキャン'、'この swap tx をスキャン'、'tx リスクチェック'、'この URL は詐欺か'、'この dapp は安全か確認'、'フィッシングサイトチェック'、'この署名は安全か'、'この署名リクエストを確認'、'私の承認を確認'、'リスクのある承認を表示'、'承認を取り消し'、'この承認は安全か確認'、トークン認可、ERC20 allowance、Permit2。対応範囲：token-scan、dapp-scan、tx-scan（EVM+Solana の実行前）、sig-scan（EIP-712/personal_sign）、approvals（ERC-20/Permit2）。中国語のキーワード：安全扫描, 代币安全, 蜜罐检测, 貔貅盘, 钓鱼网站, 交易安全, 签名安全, 代币风险, 授权管理, 授权查询, 风险授权, 代币授权。ウォレットの残高/送金/履歴には使用しないでください。okx-agentic-wallet を使用してください。
Salesforce Code Analyzer を実行し、コードをスキャンしてセキュリティ、パフォーマンス、ベストプラクティス、コードスタイルの違反を検出します。すべてのエンジン（PMD、ESLint、CPD、RetireJS、Flow、SFGE、ApexGuru）、対象（ファイル、フォルダー、git diff）、カテゴリ、重大度に対応しています。スキャン後の探索も扱います。エンジン/重大度/カテゴリ/ファイルで結果を絞り込んだり、ルールの意味を説明したりできます。発動条件：ユーザーが「コードをスキャンして」「セキュリティ問題をチェックして」「PMD/ESLint を実行して」「重複を探して」「Flow を分析して」「脆弱なライブラリを調べて」「AppExchange のレビュー」「LWC を lint して」「静的解析」「コード品質」「セキュリティ違反を表示して」「このルールは何ですか」「ApexCRUDViolation を説明して」「結果を絞り込んで">, またはエンジン/ファイルタイプ（.cls、.trigger、.js、.flow-meta.xml）に言及した場合。このスキルはスキャン、結果の探索、ルール一覧に使用します。発動しない条件：インストール/構成についてのみ質問がある場合（dx-code-analyzer-configure を使用）、またはカスタムルールの作成を求める場合（dx-code-analyzer-custom-rule-create を使用）。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。