Skills
エージェント向けにパッケージ化された専門スキルと手順を 96,981 件掲載。コマンド 1 行でインストールできます。
セキュリティ
ユーザー自身のアプリと AI コーディングツール向けのオフラインサイバーセキュリティエージェントです。Penthera CLI を使ってローカルで実行します。オープンな R&D を公開の場で測定します。1 つのコマンドでセットアップできます（「set up penthera in this repo」）。ユーザー自身のライブ URL とリポジトリをスキャンします（TLS、ヘッダー、認証、OpenAPI、AI キーを含むシークレット、オプトイン方式のインジェクション検査）。npm と Python の依存関係をオフラインで確認します（「is this dependency safe?」、「what changed in my deps?」、「install X safely」、「any AGPL in our deps?」）。コミット前にシークレットとリスクのあるエージェント設定をブロックします（「add a pre-commit hook」）。AI ツールを監査します（「audit my MCP servers / skills / hooks」、「check this skill before I install it」）。ローカルブランチで検出事項を修正し、再スキャンして検証します（「scan and fix my app」）。レポートと証拠を作成します（「report for my auditor / manager」、NIS2、SARIF、ベースライン差分）。ユーザーが自身のアプリ、ステージング URL、localhost、リポジトリ、依存関係、エージェント設定のセキュリティスキャン、監査、強化、修正、レビューを求めた場合に使用します。明示的な許可のない対象には使用しないでください。
すでに秘匿化したテキストに対する残余再識別リスクチェック（防御的、デュアルユース）。ユーザーが「check residual re-id risk」「red-team my redaction」「what can an attacker still infer」「is this safe to share」を求める場合、または匿名化後に「re-identification risk」を評価する場合に使用。秘匿化後の出力に対して CONFIDE 検出器を再実行し、残存する識別子を表面化させ（singling-out）、複数ファイルのリンク可能性を確認し、オプションでローカルモデルに推測可能な属性カテゴリ（inference）を問い合わせる — GDPR Art-29 に対応。報告するのはリスクのカテゴリ/件数のみで、再識別の手順は決して示さない。confide:anon と組み合わせて使用（秘匿化の後に実行）。
公開アクセス可能なコード（フロントエンド JavaScript、モバイルアプリ、クライアントサイドバンドル、HTML テンプレート）内のハードコードされた機密データ（API キー、アクセストークン、秘密鍵、パスワードなど）を検出する。3 段階のアプローチを使用する。偵察（シークレット候補の特定）、バッチ検証（公開コードパス内の本物のシークレットを確認、各 3 候補）、マージ（バッチ結果の統合）。sast/architecture.md が必要（先に sast-analysis を実行）。検出結果は sast/hardcodedsecrets-results.md に出力する。ハードコードされたシークレット、漏洩した API キー、露出した認証情報の検出を求められた場合に使用する。
コードベース内の安全でない JWT（JSON Web Token）実装を 2 段階のアプローチで検出する。まずすべての JWT 発行および検証箇所をマッピングしてトークンのライフサイクルと署名構成を把握し、次に各検証箇所について、アルゴリズム混同、署名検証の欠如、弱いシークレット、ヘッダーインジェクション、クレーム検証の欠如といった悪用可能な弱点を確認する。sast/architecture.md が必要（先に sast-analysis を実行）。検出結果は sast/jwt-results.md に出力する。フェーズ 1 で JWT の使用が見つからない場合、フェーズ 2 はスキップされる。JWT、トークン偽造、認証バイパスのバグの検出を求められた場合に使用する。
稼働中の Agentforce エージェントに対して OWASP LLM Top 10 のセキュリティ評価を実行する。トリガー条件：ユーザーがセキュリティテスト、OWASP スキャン、レッドチーミング、ペネトレーションテスト、セキュリティ格付け、脆弱性評価、プロンプトインジェクションテスト、データ漏洩テスト、過剰なエージェンシーのテスト、セキュリティ体制のチェック、堅牢化の推奨を求めた場合。トリガーしない条件：ユーザーが機能のスモークテストやバッチテストを実行する場合（testing-agentforce を使用）、.agent ファイルの内容を静的に安全性レビューする場合（developing-agentforce のセクション 15 を使用）、本番のセッショントレースを分析する場合（observing-agentforce を使用）、.agent ファイルを作成または変更する場合。
CONFIDE のローカル去識別化をセットアップ、インストール、設定する — Python 依存関係（natasha、scrubadub、phonenumbers、pymorphy2）をインストールし、Ollama を確保してデフォルトの qwen2.5:3b モデルを取得し、オプションの llama.cpp を検出し、最適なデフォルト設定を書き込むことで、confide:anon と confide:red が追加設定なしで動作するようにする。すべてローカルファーストで、生のテキストがマシンから出ることはない。ユーザーが「set up confide」「install confide」「configure confide de-id」「confide setup」「get confide ready」と言う場合に使用。
財務、内部監査、IT コンプライアンスチーム向けの SOX IT 全般統制（ITGC）の専門アドバイザー。外部監査人が SOX 404 でテストする 4 つの ITGC 領域——プログラムとデータへのアクセス、プログラム変更、コンピュータ運用、プログラム開発——に加え、財務諸表からの対象システムのスコープ設定、リスク・統制マトリクス（RCM）の設計、統制記述とテストスクリプトの作成、不備の評価（AS 2201 および Reg S-X における統制不備 vs 重要な不備 vs 重要な欠陥）、是正計画の起草、SOX 404(a)/404(b) の適用可否と提出者ステータス、IPO 準備のタイムライン、COSO 2013 への整合をカバーします。ユーザーが SOX、ITGC、IT 全般統制、404(a)/404(b)、ICFR、重要な欠陥、ユーザーアクセスレビュー、IT における職務分離、財務システムの変更管理統制、SOX テストやウォークスルー、PCAOB 監査、財務報告システムの四半期コンプライアンスに言及した場合は、このスキルを使用してください。
セッション記録のフォルダーに対して、ローカルでコーパス規模の統計のみの PII 監査を実行し、集計レポートを生成します — タイプ別およびレイヤー別の件数、セッションごとのマスキング率分布、文書長、粗い残留プロキシ。ユーザーが「audit my sessions」「scan folder for PII」「how much PII across these transcripts」「PII stats for my corpus」「is my redaction holding at scale」と言うとき、または記録のディレクトリを指して含まれる個人データの量を尋ねるときに使用します。完全にローカル — 生テキストはマシンから出ません。レポートには PII の値、記録の部分文字列、ファイル名が一切含まれません（匿名化された own-NN id と件数のみ）。そのため集計結果は安全に提示できます。RED（生）コーパスで実行して PII の規模を見積もり、GREEN（マスキング済み）コーパスで実行して残留漏えいを確認します。
Azure AI Face 開発に関する専門知識。トラブルシューティング、ベストプラクティス、意思決定、制限とクォータ、セキュリティ、統合とコーディングパターンを含みます。Face 検出、識別、検証、ライブネス、PersonGroup/Directory、Face API クォータを使用するとき、その他の Azure AI Face 関連の開発タスクに使用します。Azure AI Vision（azure-ai-vision を使用）、Azure AI Custom Vision（azure-custom-vision を使用）、Azure AI Video Indexer（azure-video-indexer を使用）、Azure AI Document Intelligence（azure-document-intelligence を使用）には使用しません。
究極の AI 駆動型サイバーセキュリティコードレビュー skill。8 つの次元にわたる包括的なセキュリティ監査を実行する：脆弱性検出（OWASP Top 10:2021、CWE Top 25:2024）、シークレットスキャン、依存関係／サプライチェーン分析、IaC セキュリティ、脅威インテリジェンス（マルウェア／バックドア／C2 検出、MITRE ATT&CK マッピング）、認可検証、AI 生成コード監査、コンプライアンスマッピング。8 つの並列スペシャリストエージェントを起動し、重み付きスコアリング（0-100）を行う。フレームワークを考慮した誤検知抑制。STRIDE 脅威モデリング。GitHub Advanced Security を補完する。ユーザーが "security audit"、"security review"、"cybersecurity"、"check for vulnerabilities"、"OWASP check"、"secure this code"、"find security issues"、"pentest review"、"threat model"、"security scan"、"check security"、"vulnerability scan"、"code security"、"appsec review"、"supply chain check"、"secret scan"、"hardcoded credentials" と言ったときに使用。
Windows イベント ID 4768、4769、4771 を分析して異常なチケット使用パターンを検出し、Kerberos Pass-the-Ticket（PtT）攻撃を検知します。Splunk と Elastic SIEM 向けの検出クエリも提供します。盗まれた、または再生された Kerberos チケットを含むインシデントを調査するとき、チケット悪用に対する検出ルールや脅威ハンティングクエリを構築するとき、または資格情報窃取攻撃手法に対する SOC の監視カバレッジを検証するときに使用します。
CASB/SSPM の導入、条件付きアクセスポリシー、OAuth アプリのガバナンス、ID 検証とデバイスコンプライアンスを強制するセッションレベルの DLP 制御を通じて SaaS アプリ（Microsoft 365、Google Workspace、Salesforce、Slack）を保護する。MFA/デバイスコンプライアンスの条件付きアクセスを追加する場合、シャドー IT を発見する場合、OAuth 同意付与を統制する場合、機密性の高い SaaS データにセッション制御を適用する場合に使用する。
パキスタンのウェブサイト、アプリ、コマースプラットフォーム向けに、安全な JazzCash マーチャント決済統合を設計、実装、レビュー、移行、トラブルシューティングします。HTTP POST リダイレクト、承認済み API またはホスト型チェックアウト、JazzCash Mobile Wallet、バウチャー支払い、有効時のカード、セキュアハッシュ、コールバック、ステータス確認、返金、精算、消込、オンボーディング、テスト、本番展開を網羅します。JazzCash の追加、既存の JazzCash ゲートウェイの修復、旧式のマーチャント統合のアップグレードを行う場合に使用します。
LINE Login（OAuth 2.1）の包括的なリファレンス — 認可コードフロー、PKCE、トークン管理、ID token の JWT 検証、ユーザープロフィール、ボット連携、ログインボタンの設計。ユーザーが「implement LINE Login」「add Log in with LINE」「set up OAuth authorization flow」「verify an ID token」「refresh an access token」「link a bot to login」「design a login button」を求めたり、LINE Login、OAuth 2.1、PKCE、認可コードフロー、ID token の JWT 検証、トークンのリフレッシュ／失効、ユーザープロフィール取得、ボット連携、SSO ログイン、LIFF 認証、LINE MINI App 認証に言及した場合にこのスキルを使用する。ユーザーが LINE 認証、LINE によるソーシャルログイン、LINE を含む OAuth フローに言及した場合は、「LINE Login」と明示していなくても常にこのスキルを使用する。
kube-bench の出力を完成した CIS Kubernetes Benchmark 監査に変換する。コントロールごとに PASS/FAIL/WARN を解釈し、マネージドクラスター上でどの失敗が実際に問題かを判断し、修復策を記述し、SOC 2 または PCI DSS 向けに証拠をまとめる。定期コンプライアンス監査の実施時、kube-bench 結果のトリアージ時、EKS、GKE、AKS でどのコントロールが該当しないかの判断時、監査人向けのハードニング証拠の作成時に使用する。キーワード: CIS Kubernetes Benchmark、コントロールプレーン、修復、コンプライアンス証拠、SOC 2、PCI DSS、マネージドクラスターの例外。ツールのインストールと実行には使用しない - benchmarking-kubernetes-with-kube-bench を使用すること。
GREEN（プレースホルダー）テキストから生成された分析に実値を戻します — ローカルで、ユーザー自身の可逆マップを使用します。confide のラウンドトリップ（マスキング -> green をクラウドで分析 -> ローカルで再水和）を完了します。ユーザーが「rehydrate」「restore real names」「unmask the analysis」「put the names back」「de-redact this output」「reverse the placeholders」と言うとき、または [CONFIDE_PERSON_0001]/[CONFIDE_DATE_0002] で埋め尽くされた分析と *.map.json を渡してきたときに使用します。ユーザー自身のマップ上でのみ動作します。マップはマシンから出ません。取得も送信も行いません。出力は件数のみ — 復元された PII を決して表示しません。マップにないプレースホルダーについては警告します（LLM のハルシネーションの可能性）。
コードベース内のサーバーサイドテンプレートインジェクション (SSTI) 脆弱性を 3 段階のアプローチで検出する: 偵察（動的文字列を使うテンプレートレンダリング箇所を見つける）、バッチ検証（並列サブエージェントでユーザー入力をそうした箇所までたどる、各 3 候補）、統合（バッチ結果を統合する）。sast/architecture.md が必要（先に sast-analysis を実行）。結果は sast/ssti-results.md に出力する。SSTI やテンプレートインジェクションのバグを見つけるよう求められたときに使用。
Web+AI セキュリティテストのナレッジベース。WooYun 88,636 件の事例 + 先知 L1-L4 方法論 + GAARM 173 リスク + OWASP Top 10 (LLM/ASI/WSTG) を統合。TRIGGER when タスクが実践的なセキュリティテストの場合：ペネトレーションテスト、脆弱性の発見/悪用、レッドチーム攻防、セキュリティ監査 (SAST/DAST)、CTF、AI/LLM セキュリティテスト (プロンプトインジェクション/ジェイルブレイク/MCP/Agent/サンドボックスエスケープ)。ユーザーがテスト対象 (URL/コード/モデル/Agent アーキテクチャ) を明示し、意図が"テスト/監査/脆弱性の発見/悪用"である場合。DO NOT trigger: - セキュリティ概念の議論（"XSS とは何か"、"SQL インジェクションの仕組み"）→ 一般的な Q&A - セキュリティ以外の code review / debug / パフォーマンス最適化 → code-audit-skill など - 構文エラー / ビジネスロジックのバグ修正 → 一般的なプログラミング支援 - 純粋な Web ホワイトボックスコード監査（完全なプロジェクトディレクトリ / Source-Sink テイント分析）→ code-audit-skill - CVE 番号のみでドキュメントを調べる → WebSearch - Mira 内蔵 handbook / preview.mira.day の PI レッドチーム実行（tier/TC-ID/resume）→ mira-pi-tester - ユーザーが自身の markdown ナレッジベース/wiki を構築/保守したい場合（本 skill の"ナレッジベース"は内蔵の読み取り専用セキュリティコーパスを指し、ユーザー編集可能な wiki ではない）→ llm-wiki - 外部の PI/ジェイルブレイク記事を Mira レッドチーム体系に取り込む（handbook TC カードを生成）→ mira-pi-ingest 境界の詳細：CTF の短いコード断片 + 悪用の着想 → 本 Skill；完全なプロジェクトディレクトリ + システムのホワイトボックス監査 → code-audit-skill
分離された git worktree と uv を使い、セキュリティ監査や依存関係の更新を通じて Python パッケージを保守する。セキュリティ監査、CVE 修正、脆弱性チェック、依存関係の更新、パッケージのアップグレード、古いパッケージ、バージョン更新、Python の脆弱性修正、Python CVE の確認、Python パッケージの監査、pyproject.toml の依存関係の更新、Python 依存関係のモダナイズ、またはユーザーが /uv-deps と入力した場合（特定のパッケージ名や glob パターンの有無を問わない）に使用する。
action-audit スキルが特定した GitHub Actions の action 指摘を修正する。action の種類ごとに適切な修正を適用する——内部の `bitwarden/` action には `@main` 参照、外部 action にはインラインのバージョンコメント付きの完全な SHA、または完全な置き換え——対象のリポジトリに適用し、ドラフト PR を作成する。本スキルを使用する前に、action-audit スキルを実行して指摘を特定すること。<example> ユーザー：監査で見つかった未固定の action を修正して アクション：action-remediate をトリガーして修正を適用し PR を作成する </example> <example> ユーザー：それらのリポジトリで tj-actions/changed-files を安全なバージョンに置き換えて アクション：action-remediate をトリガーして action を差し替え PR を作成する </example>
AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。