Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
ソフトウェアサプライチェーン攻撃のための包括的な攻撃方法論で、偵察から悪用までの完全なキルチェーンを網羅する。npm、PyPI、NuGet エコシステムにおける依存関係の混乱を扱い、内部レジストリの上書きによって攻撃者がプライベート依存関係をシャドーする悪意のあるパッケージを注入できる点を説明する。人気パッケージに対するタイポスクワッティング手法、メンテナのアカウント乗っ取りやソーシャルエンジニアリングによる侵害パッケージの注入、Makefile インジェクション、setup.py インストールフック、npm postinstall スクリプトによるビルドシステム攻撃を網羅する。ビルド出力が転送中に置き換え・改変される CI/CD 成果物の改ざん、盗難または自己署名証明書によるコード署名の悪用、コミットインジェクションや信頼されたリポジトリへの強制プッシュによる上流リポジトリの侵害、ベースイメージのトロイの木馬化やレジストリの混乱を含むコンテナイメージのサプライチェーン攻撃にも及ぶ。MITRE ATT&CK T1195.001（Supply Chain Compromise: Compromise Software Dependencies and Development Tools）および T1195.002（Supply Chain Compromise: Compromise Software Supply Chain）に対応する。依存関係の混乱スキャン用の confused、既知の脆弱なコンポーネント検出用の dependency-check などのツールを統合する。各技術セクションでは、再現可能な概念実証パターン、防御側向けの検出ガイダンス、許可されたレッドチーム運用向けの演習安全な実行ノートを提供する。
Express.js のミドルウェアとルートに関するセキュリティ監査パターンを確認します。Helmet.js、CORS、body-parser の制限、認証ミドルウェアの監査に使用します。Express.js アプリをレビューする際は積極的に使用してください。例：- ユーザー：「Express アプリを安全にして」→ Helmet.js を追加し、x-powered-by を無効化 - ユーザー：「Express の CORS 設定を確認して」→ オリジンの許可リストと認証情報を確認 - ユーザー：「Express の認証ミドルウェアをレビューして」→ ルートの順序とカバレッジを確認 - ユーザー：「Express のパストラバーサルをスキャンして」→ パスの正規化と検証を確認 - ユーザー：「Express のセッション設定を監査して」→ secure、httpOnly、sameSite フラグを確認
Infisical 証明書管理（PKI）のガイド — X.509 証明書の発行、更新、失効、配布。9 種類すべての認証局タイプ（内部ルート／中間 CA、Let's Encrypt を含む ACME、AWS Private CA、AWS ACM Public CA、Microsoft ADCS、Azure ADCS、DigiCert、Venafi TPP、GoDaddy）、Applications と Certificate Profiles、4 種類すべての登録方式（API、ACME、EST、SCEP）、証明書を AWS ACM / Azure Key Vault / Cloudflare / ロードバランサーへ配信する 12 種類すべての PKI Sync、証明書のライフサイクルとアラート、PKCS#11 と Windows KSP によるコード署名、証明書のディスカバリー、HSM コネクター、CRL 配布、ポスト量子の ML-DSA および SLH-DSA 鍵アルゴリズムを扱う。次のような質問があるときにこのスキルを使用する：Infisical PKI、認証局、TLS 証明書の発行、mTLS 証明書、Infisical での ACME または Let's Encrypt、EST または SCEP 登録、証明書の更新、失効、CRL、コード署名証明書、または「Infisical で証明書を管理するにはどうすればよいか」。X.509/TLS 証明書とコード署名向け。SSH 証明書（infisical-dynamic-secrets）や、マネージドキーによるデータ暗号化（infisical-kms）には対応しない。
Ivan Grynenko の cursorrules に基づく Drupal のセキュリティおよびコーディング規則を、OWASP Top 10 (2021) のカテゴリ別に整理しています。認証、アクセス制御、インジェクション（SQL、XSS）、暗号化の失敗、セキュリティ設定ミス、脆弱な依存関係、SSRF、安全でない設計、完全性、ログ記録のほか、データベース標準とファイル権限も扱います。Drupal コードのセキュリティに関する記述やレビュー、ユーザー入力の処理、クエリの作成、ファイルアップロードの処理、権限やアクセスチェックの追加、外部への HTTP リクエスト、セキュリティレビューの準備時に使用します。
自動車サプライチェーン向けのTISAX（Trusted Information Security Assessment Exchange）専門アドバイザーです。VW、BMW、Mercedes-BenzなどのOEMがサプライヤーやサービスプロバイダーに求めるENX/VDA評価制度を扱います。VDA ISA 6カタログ（2026年まで有効）とISA2027への移行（2026年7月1日公開、2027年1月1日以降に発注する評価で必須）、評価レベルAL1/AL2/AL3、12の評価目標／ラベル（Confidential、Strictly Confidential、High/Very High Availability、Proto Parts/Vehicles、Test Vehicles、Proto Events、Data、Special Data）、成熟度スコア（0～5、目標3、引き下げルール）、ENXポータルの手続き、スコープ設定、監査機関の選定、是正計画と9か月の期間、ラベルの有効期間3年、ISO 27001との対応を扱います。TISAX、VDA ISA、ENX、自動車の情報セキュリティ評価、試作品保護、OEMのサプライヤーセキュリティ要件に関するギャップ評価、ラベル選択、準備状況、監査準備などに使用します。
アラブ首長国連邦（UAE）のガバナンス、リスク、コンプライアンスに関するアドバイザー。管轄区域を優先するコンプライアンスルーターです。UAE では組織の所在地によって適用法が決まります。 mainland（Federal PDPL、Decree-Law 45/2021——施行規則は未制定）、DIFC（2025 年改正の DP Law No. 5 of 2020。私的訴権あり）、ADGM（DP Regulations 2021）、CBUAE 認可金融機関（消費者データの保管場所、アウトソーシング承認）、医療（ICT Health Law のデータローカライゼーション）、政府/CNI（UAE IA Regulation、Cyber Security Council、Dubai ISR、ADHICS）。UAE / Dubai / Abu Dhabi / Emirates に関するあらゆるコンプライアンスの質問に使用します。UAE のデータ保護、DIFC または ADGM のプライバシー、フリーゾーンと本土の義務、医療データの保管場所、CBUAE のサイバーセキュリティおよびアウトソーシング規則、市場参入（「UAE への進出」）、侵害通知、ギャップ評価、UAE の要件と ISO 27001 / NIST CSF / SOC 2 の対応付けが対象です。フレームワーク名が挙がっていなくても、UAE のプライバシー、サイバーセキュリティ、規制に関する質問で起動します。
kubectl auth can-i、rbac-police、kubectl-who-can、rakkess を使って、Kubernetes クラスター内の過剰な権限を持つ RBAC ロールやサービスアカウントトークンの悪用経路を見つけ、cluster-admin まで権限昇格できる主体を追跡します。クラスター内で権限昇格できる主体の確認、許可されたレビューで悪用可能な RoleBinding の調査、RBAC 変更後の最小権限の検証に使用します。キーワード：RBAC、ClusterRoleBinding、サービスアカウントトークン、auth can-i、rbac-police、権限昇格、bind、impersonate。強化された RBAC の設計や適用には使用せず、implementing-rbac-hardening-for-kubernetes を使用してください。
コンテナイメージのセキュリティを包括的にスキャンし、問題を修正します。Docker イメージの OS パッケージの脆弱性、アプリケーション依存関係、Dockerfile のベストプラクティスを分析します。次の場合に使用します：- Docker イメージまたはコンテナのスキャンを依頼された場合 - 「コンテナセキュリティ」や「イメージの脆弱性」について言及された場合 - Dockerfile のセキュリティを強化したい場合 - ベースイメージのセキュリティについて質問された場合 - エージェントが Docker、Kubernetes、コンテナのデプロイを扱っている場合
Docker で MISP をデプロイし、abuse.ch、AlienVault OTX、CIRCL などのソースから feed を設定して、脅威インテリジェンスを集約、相関、配布します。feed の自動同期や、Splunk、Elasticsearch、SOAR プラットフォームとの STIX/TAXII ベースの連携も行います。集中型の IOC 管理を構築する場合や、複数ソースの脅威 feed を SIEM に接続する場合に使用します。
UI5 linter が報告するものの自動修正できない Content Security Policy（CSP）準拠の問題を修正する。linter が次を出力するときにこのスキルを使用：- `csp-unsafe-inline-script`、メッセージ "Use of unsafe inline script"。トリガー：HTML ファイル内のインライン JavaScript、src 属性のない script タグ、HTML 内の onclick/onload ハンドラー。ユーザーが 'security headers'、'inline script warning'、'CSP policy'、'unsafe-inline'、'Content-Security-Policy' に言及したときにも使用。CSP 準拠のためにインラインスクリプトを外部ファイルへ移すためのガイダンスを提供する。
スコープに基づいてプロフェッショナルなペネトレーションテスト案件またはネットワーク脆弱性スキャンを実行する。WEB モード（アペックスドメイン / アプリ URL）——必須の攻撃面の拡張、OWASP 攻撃クラスの体系的な網羅、可逆なアクティブ攻撃、権威ある検証、Transilience PDF。NETWORK モード（IP/CIDR のリスト、例：1500 ホスト）——機械的に慎重なバッチ式ツール優先の nmap スイープ（ホスト探索 + 範囲を限定した一般的および比較的珍しいポート/サービススキャン + CVE の可視化）で、IP ごとに統一された出力ツリーを作成し、その後、最も価値の高いホストに対して範囲を限定した深掘りを行う。hackthebox/htb-solve の一般向け（非 CTF）版。
skills.sh ディレクトリからエージェントスキルを検索・評価・推薦する。使用する場面：(1) ユーザーが X 向けのスキルの検索を求める、(2) "есть скилл для..."、(3) "skill for zoom/notion/stripe/..."、(4) "поищи на skills.sh"、(5) "нужен плагин/расширение/скилл для..."、(6) "как подключить X к Claude Code"、(7) skills.sh への言及がある場合、(8) "найди скилл"、(9) "find skill"、(10) ユーザーがレビュー用に skills.sh のリンクを共有する。
CodeQL と Semgrep による SAST スキャンを GitHub Actions に統合します。プルリクエスト／プッシュ時のスキャン、誤検知を減らすルール調整、SARIF の GitHub Advanced Security へのアップロード、重大度の高い検出結果に対するマージ阻止の品質ゲートを扱います。CI に自動コード脆弱性検出を追加する場合、組織全体で SAST を統一して適用する場合、または SOC 2/PCI DSS/NIST SSDF のコンプライアンス証跡を作成する場合に使用します。
ネットワーク偵察 — サブドメイン列挙、ポートスキャン、DNS/WHOIS/ASN の照会、JS からのエンドポイント検出、大規模スキャン、パス検出、CIDR/ネットブロック分析。受動・能動モードに対応し、企業構造のマッピングとバグバウンティプログラムの追跡も行います。recon、reconnaissance、bug bounty、bounty programs、attack surface、subdomains、subdomain enumeration、port scan、mass scan、DNS、WHOIS、ASN、CIDR、netblock、IP recon、domain recon、passive recon、corporate structure、endpoint discovery、path discovery、scan results、analyze scan、update tools に関する場合に使用します。
コードベース、ファイル、またはマージリクエストを FIASSE v1.0.4 SSEM モデルで採点する——属性ごとに 0〜10、ピラーは等重み、エビデンスに基づく強みと弱み、優先順位付けされた推奨事項、50 項目のチェックリスト付録。トリガー:"review/score/audit securability"、"SSEM scorecard"、"FIASSE/SSEM compliance"、"where would I start hardening this?"、"is this audit-ready?"、"security posture baseline"——SSEM を明示しない言い回しも含む。要件には prd-securability-enhancement を使用し、新規コードには securability-engineering を使用する。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。