Skills
エージェント向けにパッケージ化された専門スキルと手順を 97,222 件掲載。コマンド 1 行でインストールできます。
セキュリティ
Apex コードの CRUD/FLS 違反、共有ルールの準拠、SOQL インジェクションのリスク、PII の露出を監査。コードベース全体をスキャンし、AppExchange の審査落ちを引き起こすセキュリティ問題を検出する。セキュリティレビュー、AppExchange 審査の準備状況、CRUD/FLS 監査、脆弱性スキャン、コードセキュリティについて尋ねられたときに使用。"security audit"、"AppExchange"、"CRUD/FLS"、"stripInaccessible"、"with sharing"、"security review" への言及で起動する。
yak スクリプトと Yakit UI の連携メカニズムを扱う特集。yakit.* ライブラリ関数が gRPC の ExecResult ストリームを通じてどのように画面描画を駆動するかを解説する。yakit.Info/Warn/Error/Success のログ出力、yakit.SetProgress のプログレスバー、yakit.NewTable/EnableTable/TableData のテーブル（静的 vs 動的）、yakit.NewLineGraph/NewBarGraph/NewPieGraph/NewWordCloud のチャート、yakit.StatusCard のステータスカード、yakit.EnableWebsiteTrees の Web サイトツリー、yakit.EnableText/TextTabData のテキストタブ、統合出力チャネル yakit.Output、そしてフロントエンドが useHoldGRPCStream で ExecResult を消費して UI を描画するまでの一連の流れを取り上げる。ユーザーが「スクリプトで Yakit にテーブル/チャート/プログレスバー/カードを表示するには」や「yakit.Info の出力はどこに行くのか」と尋ねたときに使用する。
Go アプリケーションのセキュリティレビュー：入力検証、SQL インジェクション、認証・認可、シークレット管理、TLS、OWASP Top 10、セキュアコーディングパターン。セキュリティレビューの実施、脆弱性の確認、Go サービスのハードニング、認証実装のレビューを行うときに使用。トリガー例：「security review」「check vulnerabilities」「OWASP」「SQL injection」「input validation」「secrets management」「auth review」。依存関係の CVE スキャン（go-dependency-audit を使用）や並行安全性（go-concurrency-review を使用）には使用しない。
Arcjet Guard を Python OpenAI Agents に統合する——FunctionTool / function_tool を guard_tool でラップし、openai_agents_context 経由で呼び出し側が所有するセッションまたは会話 id を読み取る。openai-agents、Runner.run に Arcjet を追加する、それらのツールにレート制限をかける、受信メッセージを検査する、プロンプトインジェクション / PII をブロックするよう求められたときに使用。これは Python の openai-agents であり、JS の @openai/agents アダプターではない。
Alibaba Java 開発マニュアル（嵩山版）に基づく Java 開発マニュアル規約集。プログラミング規約、例外ログ、単体テスト、セキュリティ規約、MySQL データベース、工程構造、設計規約の 7 つの次元をカバーします。ユーザーが次のことを必要とするときにこのスキルを使用します：(1) Java コードの作成またはレビュー (2) 命名／コード規約の確認 (3) 例外とログの処理 (4) 単体テストの作成 (5) セキュアコーディング (6) データベース設計 (7) 工程アーキテクチャ設計。トリガーワード：Java 規約、Alibaba 規約、コード規約、開発マニュアル、プログラミング規約、例外処理、単体テスト、セキュリティ、MySQL、工程構造、デザインパターン。
Claude の設定ファイルをセキュリティ、構造、プロンプトエンジニアリングの品質の観点からレビューする。CLAUDE.md、エージェント、プロンプト、コマンド、フック、設定への変更をレビューするときに使用する。各ファイル種別を専用のレビュースキルにルーティングし、分類された指摘を返す。チェンジセットに含まれる settings.local.json、ハードコードされたシークレット、不正な YAML、安全でないエージェントのツールアクセス、安全でないフックコマンドをフラグする。SKILL.md ファイルはレビューしない — これらは plugin-dev:skill-reviewer が担当する。
Rust の Web セキュリティの脅威モデリング、実装、レビュー、テストを行います。認証、オブジェクトおよびテナントの認可、セッション、cookie、JWT と OIDC の検証、CSRF、CORS、SSRF、入力制限、シークレット、暗号依存関係の境界、監査ログ、ネガティブセキュリティテストを扱います。ユーザーが Rust Web サービスの保護や監査、トークン、ブラウザトランスポート、マルチテナントアクセス、シークレットの取り扱い、セキュリティインシデントの修正を求めたときに使用します。
実践的な SRC / クラウドソーシング型脆弱性診断 / Bug bounty の脆弱性探索ワークフロー skill。含まれるもの：5 段階の方法論（intake → recon → enum → hunt → report）、19 個の攻撃系 playbook（SQLi/XSS/RCE/SSRF/IDOR/CSRF/Path Traversal/File Upload/SSTI/XXE/Race/HTTP Smuggling/OAuth/JWT/SAML/GraphQL/Mobile/LLM/DoS）、305 個の構造化 payload、263 個の WAF/EDR バイパス変種、HackerOne の実際の High/Critical 開示事例 2,887 件、WooYun 事例 77,000 件以上の統計、中国製 OA / ミドルウェアのフィンガープリントライブラリ、銀行 / 通信業界向けの業種別 playbook。ユーザーが "src 挖洞 / src 漏洞挖掘 / bug bounty / 众测 / hackerone / 漏洞赏金 / SRC / 任意 X 漏洞 / 渗透测试" に言及した場合、または「特定のターゲットをどう攻めるか / 特定の API をどうテストするか / WAF をどうバイパスするか」と尋ねた場合に発火する。
セルフホスト可能な TypeScript 認証フレームワーク。ソーシャル認証、2FA、パスキー、組織、RBAC、15 以上のプラグインに対応する。Drizzle/Prisma/Kysely アダプターをサポートする。Clerk/Auth.js のセルフホスト代替。使用場面：認証の構成、プラグインの追加、ソーシャル OAuth、マルチテナント SaaS、チームと RBAC を備えた組織、二要素認証（TOTP/OTP/バックアップコード）、メール検証、パスワードリセットのフロー、セッション管理、レート制限、CSRF と cookie のセキュリティ、Expo/モバイル、D1 アダプターのエラー、TanStack Start の統合、additionalFields の不具合、admin プラグイン、NextAuth からの移行、Clerk からの移行、Supabase Auth からの移行、認証の問題のトラブルシューティング。
Arcjet Guard を Python Claude Agent SDK に統合する —— 作成済みの @tool を guard_tool でラップし、UserPromptSubmit の受信と、未ラップの組み込み / MCP に対する PreToolUse には guard_hooks を使用する。claude-agent-sdk に Arcjet を追加したい、それらのツールをレート制限したい、受信プロンプトを検査したい、プロンプトインジェクション / PII をブロックしたい場合に使用する。これは Python の claude-agent-sdk であり、JS アダプターでも Claude Managed Agents のホステッドセッションでもない。
Arcjet Guard を公式 CrewAI に統合する——register_arcjet_hooks でプロセス全体の PRE_TOOL_CALL を登録するか、自分で呼び出すスタンドアロンの BaseTool を guard_tool でラップする。CrewAI、LiteAgent、crew に注入されたツールに Arcjet を追加する、それらのツールにレート制限をかける、kickoff 前に受信メッセージを検査する、プロンプトインジェクション / PII をブロックするよう求められたときに使用。公式 crewai のみが対象。npm の CrewAI 移植版でも LangChain Crew ラッパーでもない。
コード、品質、プロセス、ドキュメント、ロードマップ、ツールチェーンにわたって製品全体を監査する。リポジトリ全体のバグ調査、セキュリティ調査、破損バージョンの調査を担う（次元ごとに範囲と予算を設定し、`review-change` の変更スコープのレビューとは異なる）。重大度順に並べた F 番号付きのレポートを提案付きで 1 件保存する。修正や作業項目の起票は決して行わない。トリガー: "product-audit"、"audit the product"、"full health check"、"are we product-ready"、"CTO review"。
SPA と開発サーバーのセキュリティに関する Vite のセキュリティ監査パターンをレビューする。VITE_* の露出、ビルド時のシークレット、プロキシ設定の監査に使用する。Vite アプリ（vite.config.ts が存在する）をレビューするときは積極的に使用する。例： - user: "Audit Vite env vars" → VITE_ プレフィックスのシークレットを確認 - user: "Check Vite build config" → define ブロックとソースマップを検証 - user: "Review Vite dev server" → host バインディングとプロキシのセキュリティを確認 - user: "Scan Vite bundles" → dist/ 内に漏洩した API キーやシークレットがないか検索 - user: "Audit Vite SPA auth" → サーバー側認証とクライアントのルートガードを検証
Flutter モバイルアプリと Dart コード向けの静的セキュリティレビュー：ハードコードされたシークレット、安全でないストレージ、安全でないネットワーク呼び出し、ログ漏洩、脆弱な依存関係。シークレット、ユーザーデータ、ネットワーク通信、認証、暗号を扱うコードをレビューまたは記述する場合、あるいはログイン、サインアップ、支払いフォームのユーザー入力がリポジトリや API に到達する前に検証を追加する場合に使用する。レビューではなく安全でない変更の実装を求められた場合にも：API key を --dart-define、String.fromEnvironment、.env ファイル、または CI secrets に移す、あるいは「レビュアーがこの行を指摘した」。依存関係の脆弱性レビューや、「security」という言葉を一切使わないセキュリティ監査にも：pubspec をリリースして安全かどうか、依存関係の既知の脆弱性や CVE の確認、ignored_advisories エントリ、または晒されている固定バージョン。
Metabase の AI ガバナンスコーチ。AI の*制御と展開*の側面を扱います：誰が Metabot を使えるか、何を見られるか、コストはいくらか、モデルはどこで動くか、監査証跡。ユーザーが AI 分析を安全に展開したい、誰が Metabot を使えるかや見られるものを制御したい、AI の支出やトークンの上限を設定したい、Metabot のシステムプロンプトを制限したい、AI 利用を監査したい、AI の bring-your-own model やセルフホストの選択肢を評価したい、AI 機能のセキュリティレビューに備えたい場合にこのスキルを使用します。ユーザーが Metabase の文脈で "how do we control AI access"、"can we limit what Metabot sees"、"we need an AI security review"、"run the AI governance checklist" と言っただけでもトリガーします。**このスキルではない**のは、基盤データが AI に使えるほどモデリングされ、文書化され、信頼できるかという質問です——Transforms、メタデータ、Glossary、Metrics、Library——それは `ai-readiness-checklist` です。おおよその判断基準：このスキルは誰が AI をデータに向けられるか、あちらはデータが十分に良いかどうかです。
セキュリティ重視の Xcode ビルド設定を監査し、有効化します。コンパイラ警告、スタティックアナライザのチェッカー、Enhanced Security 機能を段階的に有効化します。使用場面：ユーザーが Xcode プロジェクトの保護、セキュリティ設定の監査、ハードニングの有効化、ビルド設定のセキュリティ状況の確認、セキュリティ重視の静的解析の導入、静的解析の有効化、警告カバレッジの向上、診断のハードニング、C/C++/Objective-C/Swift でコンパイル時に多くのバグを検出したい場合。スキップ：ネットワークセキュリティ（TLS/ATS）、コード署名、プライバシー API。
Foundry プロジェクトにおける Solidity スマートコントラクトのデプロイ前セキュリティ監査。静的解析 (Slither、Aderyn)、シンボリック実行 (Mythril)、プロパティベーステスト (forge fuzz + ハンドラー付き不変条件テスト) を組み合わせ、EVM チェーンへのデプロイ前に再入、アクセス制御、オラクル/価格操作、算術バグを検出します。また、鍵の衛生管理 (平文の秘密鍵なし、暗号化された cast keystore) と安全なデプロイワークフローを徹底します。Solidity/Foundry コントラクトの作成、レビュー、テスト、デプロイ、dApp の構築、または forge/cast/anvil、MetaMask、Web3/DeFi コードを扱う場合に使用します。
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。