Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
脆弱性の状態、メンテナンス状況、人気度、コミュニティ、セキュリティ態勢を評価し、安全で健全なオープンソースパッケージの選定を支援します。次の場合に使用します。Agent が新しい依存関係を導入する場合、ユーザーが「X にはどのパッケージを使うべき？」と尋ねる場合、パッケージ（A と B）の比較を求める場合、パッケージの安全性を尋ねる場合、「安全な代替パッケージ」を求める場合、「dependency health」「package chooser」「package security」に言及した場合
Azure Dedicated HSM の開発に関する専門知識を提供します。トラブルシューティング、意思決定、アーキテクチャと設計パターン、セキュリティ、統合とコーディングパターン、デプロイを扱います。HSM クラスターのサイジング、ExpressRoute IP SKU の構成、VNet の保護、HSM の廃止計画、CLI/PowerShell によるプロビジョニングのスクリプト作成など、Azure Dedicated HSM 関連の開発タスクで使用します。Azure Cloud Hsm（azure-cloud-hsm を使用）、Azure Key Vault（azure-key-vault を使用）、Azure Payment Hsm（azure-payment-hsm を使用）には使用しないでください。
JavaScript/TypeScriptプロジェクトの依存関係の健全性を包括的に監査します。npm auditの実行、古いパッケージの検出、セキュリティアドバイザリの確認、ライセンス遵守の検証を行います。脆弱性を深刻度順に優先付けし、実行可能な修正案を提示します。プロジェクト依存関係の監査、脆弱性の確認、パッケージの更新、リリース準備、「npm audit」警告の調査に使用します。キーワード：audit、vulnerabilities、outdated、security、npm audit、pnpm audit、CVE、GHSA、license。
フィンテック特有の GraphQL 脆弱性を探る:資金移動系 mutation(送金、償還、出金、カードチャージ)、元帳/残高/ポートフォリオ照会の IDOR、小数精度と丸めの悪用、二重支払いを可能にする冪等キーのバイパス、KYC/PII のフィールド単位の認可ギャップ、マスアサインメント経由で到達可能な管理者オーバーライド mutation。汎用的な GraphQL の探索と IDOR/mutation の手法を担う hunt-graphql とは異なり、本スキルは元帳、ウォレット、決済、銀行、証券、融資のバックエンドの前に GraphQL 層が存在する場合に生じる差分を担う。そこでは resolver のバグがデータ漏洩にとどまらず実際の資金を動かす。GraphQL API を公開するフィンテック、銀行、決済、ウォレット、ネオバンク、証券、融資の対象を探る場合、または schema/レスポンスに balance、transfer、ledger、redeem、quote、KYC、アカウント連携のフィールドが含まれる場合に使用する。
Rails におけるパスワードレスなメールコード認証の専門ガイド — Basecamp、Fizzy、Herald などのアプリで使われている 37signals のトークン/コードパターン。サインイン、サインアップ、マジックリンク、ワンタイムコード、OTP、確認コード、セッショントークン、保留中の認証トークン、パーソナルアクセストークン、Bearer API 認証、パスワードレスログインの追加、または Devise/has_secure_password の置き換えを行うときに使用する。このフローでは Rails 8 のパスワードジェネレーターを使わないこと。
トラブルシューティング、セキュリティ、構成、統合、コーディングパターンなど、Azure Osconfig の開発に関する専門知識を提供します。IoT 経由で OSConfig を実行してコマンドやネットワークを扱う場合、SSH Posture Control、エージェントの状態、Windows セキュリティベースライン、その他 Azure Osconfig 関連の開発タスクに使用します。Azure Update Manager（azure-update-manager を使用）、Azure Automation（azure-automation を使用）、Azure Policy（azure-policy を使用）には使用しません。
トラブルシューティング、ベストプラクティス、意思決定、アーキテクチャと設計パターン、セキュリティ、構成など、Azure Payment Hsm の開発に関する専門知識を提供します。Payment HSM の VNet/ピアリング、FastPath、payShield Manager へのアクセス、SKU、HA/DR トポロジ、トラフィックルーティングの構成、その他 Azure Payment Hsm 関連の開発タスクに使用します。Azure Cloud Hsm（azure-cloud-hsm を使用）、Azure Dedicated HSM（azure-dedicated-hsm を使用）、Azure Key Vault（azure-key-vault を使用）、Azure Security（azure-security を使用）には使用しません。
2025～2026 年の Git セキュリティのベストプラクティス（署名付きコミット、ゼロトラスト、シークレットスキャン）。次の場合に積極的に有効化します。(1) 署名付きコミット（GPG、SSH、S/MIME）の設定、(2) コミット署名の検証、(3) ゼロトラスト Git ワークフロー、(4) シークレットスキャン（GitHub Advanced Security、gitleaks、trufflehog）、(5) pre-commit フックによるシークレット漏えい防止、(6) 保護ブランチと必須レビュアー、(7) 機密パス向け CODEOWNERS、(8) Sigstore 形式の証明、(9) 漏えいした認証情報の検出と対処、(10) サプライチェーンセキュリティ（来歴、SBOM、SLSA）。署名付きコミットの設定、シークレットスキャンの統合、pre-commit フックのテンプレート、ブランチ保護パターン、認証情報漏えい時のインシデント対応チェックリストを提供します。
Power Pages サイトのエンドツーエンドのセキュリティレビューをガイド付きで実施し、ソースコードと依存関係、稼働中のサイト、ブラウザーのヘッダー、ファイアウォール、認証、ロールベースの権限に関するすべての検出事項を 1 つの HTML レポートにまとめます。ユーザーが包括的なセキュリティレビュー、公開前のリリース準備状況の確認、開発中のコードと設定の確認、稼働中サイトの監視を希望する場合や、「サイトのセキュリティをレビューして」「このまま公開しても安全？」「セキュリティチェックをして」「サイトを監視して」など、個別のチェック項目を指定しない質問をした場合に使用します。
Active Storage を activerecord-tenanted と組み合わせるための専門的なガイダンス。保存後に blob が 404 になる、Lexxy/Trix のアップロード、直接アップロード、テナント署名付き blob ID、rails/active_storage のリダイレクト、"Cannot generate a Blob key without a tenant" が発生するときに使用。activerecord-tenanted スキルが必要。単一データベースの Active Storage には該当しない。
hcloud CLI を使用した Huawei Cloud UCS（Ubiquitous Cloud Native Service）のポリシーガバナンスおよびコンプライアンス管理スキルです。ユーザーが次を希望する場合に使用します。(1) UCS ポリシーインスタンスの作成、更新、照会、削除。(2) UCS ポリシー定義の照会、一覧表示。(3) クラスターまたはフリートグループでのポリシーの有効化／無効化。(4) ポリシー適用ジョブのステータス確認。(5) フリートのコンプライアンス監査とポリシー適用状況の確認。トリガー：ユーザーが「UCS policy」「UCS 策略」「UCS governance」「UCS 治理」「UCS compliance」「UCS 合规」「policy instance」「策略实例」「policy definition」「策略定义」「enable policy」「启用策略」「disable policy」「禁用策略」「fleet compliance」「舰队合规」「policy audit」「策略审计」「UCS 策略管理」「UCS 合规治理」「policy governance」「策略治理」に言及した場合。
Stellar のエンドツーエンド開発プレイブックです。Soroban スマートコントラクト（Rust SDK）、Stellar CLI、クライアントアプリ向け JavaScript/Python/Go SDK、Stellar RPC（推奨）と Horizon API（レガシー）、Stellar Assets と Soroban トークン（SAC ブリッジ）、ウォレット統合（Freighter、Stellar Wallets Kit）、パスキー対応スマートアカウント、状態に応じたゼロ知識証明パターン、テスト戦略、セキュリティパターン、よくある落とし穴を扱います。決済、資産のトークン化、DeFi、プライバシーを考慮したアプリケーション、金融アプリケーション向けに最適化されています。Stellar、Soroban 上での開発や、XLM、Stellar Assets、トラストライン、アンカー、SEP、ZK 証明、Stellar RPC/Horizon API の利用時に使用します。
OSINT に基づく標的プロファイリングと、GoPhish、the Social Engineer Toolkit (SET)、Evilginx などのツールを使ったフィッシング、ビッシング、スミッシング、物理的な口実作りのキャンペーンを組み合わせ、人的セキュリティの耐性を測定するソーシャルエンジニアリング侵入テストを設計・実施します。許可された人的攻撃対象領域のテストを計画・実行し、セキュリティ意識向上トレーニングの不足を特定するために結果を報告する際に使用します。
ユーザー名前空間のリマッピング、TLSクライアント認証、seccompプロファイル、icc、no-new-privileges、live-restoreなどのCIS Docker Benchmark制御を用いて、/etc/docker/daemon.jsonからDockerデーモン（dockerd）を強化します。権限昇格、コンテナ脱出、横方向の移動を防ぐためにDockerホストのデーモンを保護する場合や、CIS要件に照らしてデーモン設定を監査する場合に使用します。キーワード：dockerd、daemon.json、userns-remap、no-new-privileges、icc、live-restore、TLS socket。イメージやコンテナごとのランタイムフラグの強化には使用せず、hardening-docker-containers-for-productionを使用してください。
サウジアラビアのガバナンス、リスク、コンプライアンスのアドバイザーです。コンプライアンスルーターが、まず適用されるサウジアラビアの規制（NCA ECC-2:2024、Saudi PDPL、NCA Cloud Cybersecurity Controls、SAMA Cyber Security Framework、CST cloud framework、DCC/OTCC/TCC）を特定し、その後、各フレームワークに沿ったコンプライアンスを案内します。サウジアラビア / KSA のあらゆるコンプライアンス関連の質問に使用します。対象は、NCA Essential Cybersecurity Controls、SDAIA と個人データ保護法（نظام حماية البيانات الشخصية）、PDPL の侵害通知とデータ移転、銀行/保険会社/フィンテック企業の SAMA コンプライアンス、国内のクラウドデータレジデンシー、CST CSP 登録、政府/CNI のサイバーセキュリティ義務、市場参入コンプライアンス（「サウジアラビアへの事業拡大」）、ギャップ評価、サウジアラビアの要件と ISO 27001 / NIST CSF / SOC 2 のマッピングです。具体的なフレームワーク名がなくても、KSA、Riyadh、Vision 2030 のコンプライアンス、NCA、SDAIA、SAMA、サウジアラビアのデータ保護に関する質問で起動します。
実際に悪用可能なバグの検出に重点を置き、理論上の指摘を抑えたコードのセキュリティ監査です。ユーザーが「audit」「security-audit」「脆弱性を見つけて」「IDOR/SSRF/XSS/インジェクションを確認して」と依頼する場合や、ファイル、ディレクトリ、ブランチ差分、PR のセキュリティレビューを求める場合に使用します。アクセス制御、インジェクション、認証／シークレット、機密データ、ビジネスロジック、Web 境界、AI エージェント／LLM のトライアドリスクを扱います。データフロー、攻撃リクエスト、修正方法、確信度を含む、適切に調整された指摘を出力し、理論上の指摘や多層防御に関する些末な指摘は含めません。
セッションの文字起こし（セラピー、コーチング、コンサルティング、メンタリング）向けの 3 層 PII 匿名化機能です。Natasha（ロシア語 NER）、OpenAI Privacy Filter、ローカル LLM（Ollama）を順に実行し、幅広く匿名化します。デフォルトでは完全にローカルで動作します。AI 分析の前に、セッションの文字起こし、メモ、またはクライアントの PII を含むテキストを匿名化する際に使用します。「匿名化」「PII を伏せる」「セッションを匿名化」「クライアントデータを保護」「個人データを除去」「文字起こしを匿名化」などがトリガーです。
aliyun CLI を通じて Alibaba Cloud Security Center（SAS）と ECS API を呼び出し、OpenClaw 環境のセキュリティ運用を行います。アセットの照会、脆弱性検出、ベースラインチェック、アラート分析、日次セキュリティレポートの生成、Cloud Assistant コマンドの実行に対応します。OpenClaw のセキュリティ状況の照会、セキュリティアラートへの対応、脆弱性リスクの確認、緊急コマンドの実行、セキュリティレポートの生成が必要な場合に使用します。
Salesforce Hyperforce のパブリッククラウドインフラストラクチャとアーキテクチャ（2025）。次の場合に積極的に有効化します：(1) Hyperforce アーキテクチャ（マルチリージョン、パブリッククラウド）の理解、(2) Hyperforce の移行計画、(3) データレジデンシーとリージョン展開、(4) Hyperforce のセキュリティモデル（BYOK、Shield 暗号化）、(5) ネットワークアーキテクチャ（PrivateLink、パブリック IP 許可リスト）、(6) Hyperforce と第一世代インフラストラクチャの違い、(7) Hyperforce のバックアップと災害復旧、(8) Hyperforce のパフォーマンスと SLA、(9) コンプライアンス認証（HIPAA、FedRAMP、GDPR）。提供内容：Hyperforce の概要、移行チェックリスト、ネットワークアーキテクチャのパターン、BYOK の設定、災害復旧／バックアップ構成。
OWASP ZAP（Zed Attack Proxy）を GitHub Actions と GitLab CI のパイプラインに統合します。稼働中のアプリケーションに対するベースライン、フル、API スキャンの設定、ZAP の検出結果の解釈、スキャンポリシーの調整、DAST 品質ゲートを扱います。稼働中のウェブアプリや REST/GraphQL API における XSS、SQLi、CSRF、認証・認可の不備をテストする場合や、SAST だけでは不十分で、コンプライアンスまたはリリース判定に実行時 DAST が必要な場合に使用します。
Bitwarden Agent Access CLI（`aac`）を使った、エージェント制御のブラウザーログインフローに使用します。AIエージェントが `aac listen`／`aac run` 経由でウェブサイトにログインする、Bitwarden Agent Accessで認証情報を承認する、パスワードを表示せずにブラウザーのログインフォームに入力する、Agent Accessのブラウザーログイン連携をデバッグする、または `aac run` の環境変数注入とブラウザー自動化を認証情報に配慮して橋渡しする場合に使用します。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。