Skills

M

mollie-webhooks

hookdeck / webhook-skills

Mollie webhookを受信して処理します。Mollie webhookハンドラーの設定、新世代webhookのX-Mollie-Signatureヘッダーの検証、支払い状態（支払済み、期限切れ、失敗、キャンセル、承認済みなど）の変更処理に使用します。従来型webhook（署名なし、IDのみ、APIから支払い情報を取得して確認）と新世代webhook（署名付きJSONイベント、raw bodyのHMAC-SHA256）の両方に対応します。

N

ntlm-relay-attack

wgpsec / aboutsecurity

NTLM リレー攻撃の手法。対象ネットワークに NTLM 認証が存在する場合、SMB/HTTP 認証リクエストをトリガーできる場合、または NetNTLM Hash を取得した場合に使用する。Responder によるポイズニング、ntlmrelayx によるリレー、プリンタバグによる強制認証、RBCD リレー、Shadow Credentials、ADCS リレーを網羅する。NTLM、Relay、Responder、リレー攻撃に関するあらゆるシナリオでこの skill を使用すること

O

oma-deepsec

gracefullight / stock-checker

Deepsec の脆弱性スキャン、トリアージ、CI ゲートを設定して実行する。Deepsec の作業、または明示的に依頼されたエージェントによる脆弱性スキャンに使う。

P

pentest-http-smuggling

jd-opensource / joysafeter

HTTP リクエストスマグリング、デシンク攻撃、キャッシュポイズニング、プロトコルレベルの脆弱性テスト。

P

ping-orchestration-sdk-router

pingidentity / ping-sdk-agent-skills

ユーザーがプラットフォームを指定せずに Ping Identity SDK、ForgeRock SDK、Ping Orchestration SDK の統合について助けを求めたときに使用します——"help me add Ping auth"、"I want to use PingOne"、"get started with the Ping Orchestration SDK"、"add Ping login to my app"、"integrate the ForgeRock SDK"、"use the pingidentity SDK" のようなフレーズです。プロジェクトを調査して Android、iOS、JavaScript、React Native を検出し、曖昧な場合は確認したうえで、対応する包括スキル（ping-orchestration-android-sdk、ping-orchestration-ios-sdk、ping-orchestration-javascript-sdk、ping-orchestration-react-native-sdk）に、または ForgeRock SDK への参照（forgerock-android-sdk、forgerock-ios-sdk、@forgerock/javascript-sdk）がある場合は forgerock-to-ping-journey-migration にルーティングします。

P

pr-github-ops

superagent-ai / skills

認証済みの gh CLI を使い、Superagent PR セキュリティスキャンの検出結果を GitHub プルリクエストのインライン レビューコメントとして投稿する。PR スキャンの検出結果にコメントする、Superagent PR ラベルを管理する、GitHub チェックランを完了する、検出結果を PR スレッドの一般コメントとして投稿するのを避ける、といった場合に使用する。gh を介して GitHub の副作用を担う Superagent サンドボックス PR スキャンの引き渡しでは必ずトリガーする。

R

reversing-network-protocols

trilwu / secskills

パケットキャプチャとそのプロトコルを使用するクライアントから、文書化されていないバイナリネットワークプロトコルをリバースエンジニアリングします。フレーミングとフィールド構造の復元、長さプレフィックス、オペコード、チェックサム、暗号化の特定、リプレイやファジング用の Wireshark/Kaitai/scapy パーサーの構築を行います。独自の TCP/UDP プロトコル、仕様のないゲーム／IoT／C2 プロトコル、または Wireshark が生バイト列としてしか表示しないトラフィックの分析に使用します。

R

review-pr

microsoft / agent365-devtools

Claude Code エージェントを使って構造化された PR レビューコメントを生成し、GitHub に投稿する。API キーは不要——Claude Code の既存の認証を使用する。

R

reviewer

niekcandaele / skills

設計レビュー、アーキテクチャ、一貫性、ハードニング、セキュリティ分析を組み合わせた総合的なコードレビュアー

R

reviewing-security-prior-art-survey

bm629 / agent-skills

完成したセキュリティ先行技術の成果物——脅威語彙マップ、角度別の検索出力、抽出記録、または脅威レジスター——を判定するときに用いる。研究の作法が誠実か、自身の契約に対して完全か、釣り合いが取れているかを判断する。作成ではなく受け入れゲートであり、まず生産者のバリデータを 1 回実行し、次にバリデータには見えないもの——カバレッジの主張が証明可能か、ソースの失敗が型付けされたのかゼロとして書かれたのか、撤退が確信を持った関連性による撤退であり曖昧な回避ではないか、証拠階層が記録本文自身の同意する証拠に由来するか、レジスターが脅威を造語ではなく実在の語彙で名づけているか——を判定する。VERDICT: approve|revise を条件名付きの所見とともに出力する。キーワード：セキュリティ先行技術レビュー、脅威研究レビュー、カバレッジの誠実性、survey 受け入れゲート。3 つの survey ウェーブすべてを判定する。

説明はまだありません

S

security-audit

89jobrien / steve

セキュリティ監査と脆弱性評価のスペシャリスト。実施するときに使用

S

security-misconfiguration

scholarly360 / owasp-top10-web-skills

Python Web アプリケーション（特に FastAPI および Flask）におけるセキュリティ設定の誤り脆弱性（OWASP A02:2025）を検出、監査、修正する。ユーザーが次の内容を尋ねた場合は常にこのスキルを使用する：Python/FastAPI/Flask アプリの堅牢化、デバッグモードの漏洩の確認、セキュリティヘッダーの欠如、公開された API ドキュメント、ハードコードされたシークレット、安全でない Cookie フラグ、XXE 脆弱性、または OWASP A02 の設定ミスの問題。また、"security audit"、"pen test prep"、"production checklist"、"find misconfigs"、"harden my app" といったタスクでもトリガーする。本スキルは、設定ミスの各サブカテゴリに対する静的解析パターン、実行時チェック、ツール（Bandit、OWASP ZAP）、修正コードスニペットをカバーする。

S

security-questionnaire-response-review

sylphxai / skills

セキュリティ質問票への回答、トラストセンターの回答、ベンダーリスクの証跡、エンタープライズ買い手向けセキュリティ資料、コントロールのマッピング、ギャップ、是正メモ、誠実な営業への引き継ぎを準備・レビューする。顧客のセキュリティレビュー、調達質問票、SSO/監査/データに関する質問、プライバシー証跡の請求、またはエンタープライズの信頼性デューデリジェンスに対応するときに使用する。

コードとインフラストラクチャをスキャンし、セキュリティ上の脆弱性やコンプライアンス上の問題を検出します

S

semgrep-rule-creator

oimiragieo / agent-studio

プロジェクト固有の脆弱性の検出、コーディング規約の徹底、ドメイン固有のセキュリティチェックの構築のためのカスタム Semgrep ルールを、適切なテストとメタデータとともに作成する。

S

semgrep-rule-creator

waybarrios / opencode-power-pack

セキュリティ脆弱性、バグパターン、コードパターンを検出するカスタム Semgrep ルールを作成します。Semgrep ルールの作成や、カスタム静的解析検出の構築に使用します。

S

semgrep-rule-variant-creator

waybarrios / opencode-power-pack

既存の Semgrep ルールの言語別バリエーションを作成します。Semgrep ルールを指定した対象言語へ移植する際に使用します。既存のルールと対象言語を入力とし、言語ごとに独立したルール+テストのディレクトリを生成します。

S

sigil-scan

nomarj / sigil-skill

AI エージェントのコード向けの自動セキュリティ監査。8 段階の分析でリポジトリ、パッケージ、MCP サーバー、インストール済みスキルをスキャンし、悪意のあるパターンを検出する。インストールフック、危険なコードパターン、ネットワーク経由の外部送信、認証情報へのアクセス、難読化、来歴、プロンプトインジェクション、スキルのセキュリティ。次の場合に使用：リポジトリのクローン、パッケージのインストール、MCP サーバーのレビュー、スキルの監査、実行前のコードスキャン、または何かが安全かどうかの確認、コードの監査、マルウェアのスキャン、依存関係のレビューを求められた場合。

S

social-engineering

wgpsec / aboutsecurity

対象組織の人員インテリジェンス収集とソーシャルエンジニアリング攻撃の準備。対象のメール形式、主要人物の情報、組織構造を収集する必要がある場合、またはフィッシング攻撃/ウォータリングホール攻撃/資格情報の推測を準備する場合に使用する。ペネトレーションテストにおけるソーシャルエンジニアリング攻撃の準備段階に適する

S

sonatype

membranedev / application-skills

Sonatype 統合。データ、レコードを管理し、ワークフローを自動化します。ユーザーが Sonatype のデータを操作したいときに使用します。

S

sqlmap-database-pentesting

zebbern / claude-code-guide

ユーザーが「SQLインジェクションテストの自動化」「データベース構造の列挙」「sqlmapを使ったデータベース認証情報の抽出」「脆弱なデータベースからのテーブルと列のダンプ」「自動データベース侵入テストの実施」を求めた場合に使用します。SQLMapでSQLインジェクションの脆弱性を検出・悪用するための包括的なガイダンスを提供します。

S

stride-analysis-patterns

hash-id / openspec-schema

STRIDE手法を適用し、体系的に脅威を特定します。システムセキュリティの分析、脅威モデリングの実施、セキュリティ文書の作成に使用します。

S

subdomain-enumeration

uphiago / recon-skills

偵察の開始時に crt.sh と subfinder でサブドメインを列挙する。

S

supabase

tushaarmehtaa / tushar-skills

Supabase のスキーマ、グラント、RLS、マイグレーション、型付きクライアント、ストレージ、外部認証のセットアップ・拡張・監査を行う。Supabase を統合するとき、またはデータアクセスとテナント分離を修正するときに使用。

T

target-profiling

wgpsec / aboutsecurity

対象の全体像のプロファイリングと攻撃面の分析。対象資産を体系的に整理する必要がある場合、構造化された対象プロファイルを生成する場合、または複数人でのペネトレーションテストで対象情報を共有する必要がある場合に使用する。スキャンそのものよりも分析と報告に重点を置く。recon-full の後にデータを深く分析するのに適する

インサイト運用の業務フローを調整します。review を呼び出して人手による判定（L2）を行い、顧客向け報告を起草して書き戻しを確認します。誤検知や顧客の社内業務に関する場合は必要に応じて案内し、テナントの許可リスト案を作成します。また、関連する運用チケットを検索し、コメントでの質問に回答します。保留タスクの処理、既存の結論の提出、顧客向け報告、チケットのフォローアップに使用します。インサイトの理解と証拠収集は review が担当します。エンドポイント対応、チケット作成、チケット状態の変更は担当しません。

脅威インサイトの処理と AI／Agent の判定（L1）レビューを、3 段階で進めます。1. 概要確認（デフォルトの入口。MySQL のインサイト、エンドポイント、L1 レポートを直接読み取る）。2. 初期調査（通常調査のデフォルト。証拠パッケージをダウンロードせず、オンラインハンティングと関連ツールで迅速に確認）。3. 詳細調査（凍結された証拠パッケージをローカルに取得して詳細分析し、人手で判定した完全な L2 レポートを作成）。書き戻しやチケットのクローズは担当しません。

W

wallet-integration

alphaonedev / openclaw-graph

安全な暗号通貨取引と資産管理のためにブロックチェーンウォレットを統合する。

A

add-request-protection

arcjet / skills

非推奨：代わりに `arcjet` skill を使用してください。サーバーサイドのルートまたはエンドポイントにセキュリティ保護を追加する — レート制限、ボット検出、メール検証、不正利用防止。

A

admin-settings-ia-review

sylphxai / skills

管理者設定の情報アーキテクチャ、ワークスペースの制御、ロールと権限の設定、請求／管理の分離、セキュリティ設定、デフォルト、監査可能性、危険な操作、ポリシーの継承、チーム管理、エンタープライズ管理者 UX を設計・監査する。SaaS、開発者ツール、マーケットプレイス、デスクトップアプリ、マルチユーザー製品の設定を構築するときに使用する。

A

ai-model-privacy-audit

mukul975 / privacy-data-protection-skills

訓練データ抽出テスト、メンバーシップ推論攻撃、モデル反転テスト、属性推論の評価を含む AI モデルのプライバシー監査を実施する。ML Privacy Meter および関連ツールを用いてプライバシー漏洩を定量化する。キーワード：モデル監査、メンバーシップ推論、privacy meter、モデル反転、訓練データ抽出。

A

ai-transparency-reqs

mukul975 / privacy-data-protection-skills

EU AI Act 第 13〜14 条および GDPR 第 13〜14 条に基づく AI 透明性要件を実装する。AI との対話であることのユーザーへの通知、システム能力の開示、制限事項の文書化、自動化されたロジックに関する意味のある情報を扱う。キーワード:AI 透明性、EU AI Act、GDPR 通知、説明可能性、自動化された意思決定。

A

analyzing-macos-binaries

trilwu / secskills

macOS アプリケーションと Mach-O バイナリをリバースエンジニアリングし、セキュリティレビューします。ユニバーサルバイナリの分割、Objective-C/Swift 構造の復元、コード署名エンタイトルメントと強化ランタイムの読み取り、XPC サービス、dylib のロードパス、TCC のプライバシー露出の監査を行います。macOS 上の .app バンドルや Mach-O の分析、エンタイトルメントや公証の確認、dylib ハイジャックや XPC 権限バグの調査、Gatekeeper や隔離属性の検討に使用します。

A

api-security

hardw00t / ai-security-arsenal

REST、GraphQL、gRPC、WebSocket にまたがる API ペネトレーションテスト用のルータースキル。BOLA/BFLA/BOPLA、JWT 攻撃チェーン、GraphQL introspection の悪用、マスアサインメントを含む OWASP API Top 10（2023）を扱う。ユーザーが API のペネトレーションテスト、OpenAPI/Swagger の分析、認証/認可のテスト、エンドポイントのファジング、API 脆弱性の調査を求めたときに呼び出す。

A

api-security-testing

davila7 / claude-code-templates

認証、認可、レート制限、入力検証、セキュリティのベストプラクティスを扱う、REST および GraphQL API のセキュリティテストワークフローです。

A

attacking-hardware-interfaces

trilwu / secskills

組み込みデバイスの物理的な攻撃対象領域を評価します。UART コンソール、JTAG/SWD デバッグ、SPI/I2C フラッシュの特定と利用、チップ外でのファームウェアダンプ、セキュアブートのトリアージ、SDR を使ったサブ GHz RF リプレイの実現可能性調査が対象です。デバイスや基板に物理的にアクセスできる場合、テストパッドを特定してシリアル／root シェルを取得する必要がある場合、flashrom でフラッシュチップを読み取る場合、またはシールドラボで固定コードとローリングコードの無線を評価する場合に使用します。

A

audit-sampling-methods

mukul975 / privacy-data-protection-skills

統計的サンプリングと非統計的サンプリング、サンプルサイズの決定、層化手法、コンプライアンステストのための属性サンプリング、信頼水準の選択、許容逸脱率、母集団への結果の外挿を含む、プライバシー監査のサンプリング方法論をガイドする。キーワード:監査サンプリング、統計的サンプリング、属性テスト、サンプルサイズ、信頼水準、層化サンプリング、プライバシー監査。

A

auth-audit

fusengine / agents

JWT、セッション、OAuth2/PKCE、パスワード、MFA の実装におけるセキュリティ脆弱性とベストプラクティスからの逸脱を監査する場合に使用する。

A

auth-audit

fusengine / claude-plugins

認知的自動化と協調型エージェントシステムによって、開発を再定義します。

A

authentication-patterns

zebbern / claude-code-guide

認証パターン：session と JWT と OAuth の比較、プロバイダーの選択（NextAuth、Clerk、Supabase Auth）、セキュリティチェックリスト、よくある間違い。認証の実装、認証フローのレビュー、認証プロバイダーの選択時に使用する。

A

automated-decision-rights

mukul975 / privacy-data-protection-skills

完全に自動化された意思決定とプロファイリングに関する GDPR 第 22 条の権利を管理する。自動化された意思決定の特定、実効性のある人的監視の実装、ロジックの説明要件、異議申立ての仕組みを含む。自動化された意思決定、プロファイリング、第 22 条、アルゴリズムによる意思決定、AI による意思決定に関する問い合わせで有効化する。

B

b2-cloud-storage

backblaze-labs / claude-skill-b2-cloud-storage

Backblaze B2 クラウドストレージを管理する。ファイルの一覧表示、使用状況の監査、コストの見積もり、古いデータのクリーンアップ、セキュリティ態勢のレビュー、ライフサイクルルールの管理を行う。ユーザーが B2、Backblaze、オブジェクトストレージバケット、ストレージのクリーンアップに言及したときに使用する。

B

backend-development

samhvw8 / dotfiles

本番環境のバックエンドシステム開発。スタック：Node.js/TypeScript、Python、Go、Rust | NestJS、FastAPI、Django、Express | PostgreSQL、MongoDB、Redis。機能：REST/GraphQL/gRPC API、OAuth 2.1/JWT 認証、OWASP セキュリティ、マイクロサービス、キャッシュ、ロードバランシング、Docker/K8s デプロイ。アクション：API とサービスの設計、構築、実装、保護、最適化、デプロイ、テスト。キーワード：API 設計、REST、GraphQL、gRPC、認証、OAuth、JWT、RBAC、データベース、PostgreSQL、MongoDB、Redis、キャッシュ、マイクロサービス、Docker、Kubernetes、CI/CD、OWASP、セキュリティ、パフォーマンス、スケーラビリティ、NestJS、FastAPI、Express、ミドルウェア、レート制限。使用場面：API の設計、認証/認可の実装、クエリの最適化、マイクロサービスの構築、エンドポイントの保護、コンテナのデプロイ、CI/CD の構築。

B

binance-auth

ticruz38 / skills

トレーディングスキル向けの Binance API 認証とキー管理。API キーを安全に保存し、権限を検証し、testnet と本番環境に対応し、残高照会を伴うヘルスチェックを提供する。

C

chrome-release-verify

electron / electron

Electron リリースブランチ向けのエンドツーエンドの Chrome セキュリティバックポート。Chrome Releases ブログの URL とブランチ（例: 41-x-y）を指定すると、*実際に同期されたソース*からどの CVE 修正が欠けているかを特定し、cherry-pick パッチをローカルで作成し、`e sync --3` + `lint --patches` で検証してから単一の PR をプッシュする。Chrome セキュリティリリースを N-x-y にバックポートする依頼、「CVE-X はすでに N-x-y にあるか？」、またはリリースブランチ向けの cherry-pick セットの生成/検証を求められた場合に使用する。

C

cloudflare-safe

edukeyteam / agent-toolbox

エージェントとしてCloudflareアカウント内の項目を確認または変更する場合に使用します。DNSレコード、WAFカスタムルール、ボット設定、リダイレクト、変換、キャッシュまたはページルール、ゾーン設定、トンネル、Workers、Pages、R2、分析が対象です。読み取りには、エージェントには見えないローカルの読み取り専用APIトークンを使用します。変更はユーザーがダッシュボードで行うための提案として提示するか、ユーザーが意図的に書き込みトークンを保存している場合は承認手順を経て適用します。

C

container-security-auditor

jeremylongshore / tons-of-skills-marketplace

コンテナセキュリティ監査者の操作を監査する。自動有効化スキル（ビジネス向け）

C

cors-policy-validator

jeremylongshore / tons-of-skills-marketplace

cors policy validator 操作を検証する。自動有効化スキル（対象：

C

ctf-ai-ml

wgpsec / aboutsecurity

CTF の AI/ML 攻撃テクニック。チャレンジが AI モデル攻撃、敵対的サンプル生成、モデル抽出、プロンプトインジェクション/脱獄、LoRA 重み操作、LLM トークン密輸、メンバーシップ推論攻撃、訓練データポイズニング、ニューラルネットワーク分析に関わる場合に使用する。FGSM/PGD/C&W 敵対的攻撃、モデル反転、モデル重みの摂動復元、LLM ツールチェーンハイジャック、コンテキストウィンドウ操作など、AI セキュリティの攻防技術を網羅する

D

data-localization

mukul975 / privacy-data-protection-skills

ロシア（242-FZ）、中国（PIPL 第 40 条、CAC 措置）、インド（DPDP Act）、トルコ、ベトナム、インドネシアなど主要な法域における国別のデータローカライゼーション要件への準拠を支援する。ローカライゼーションの評価、アーキテクチャ設計、適用除外の手続きを扱う。キーワード：データローカライゼーション、データレジデンシー、PIPL、242-FZ、越境制限。

D

dependency-audit

fusengine / agents

プロジェクトの依存関係（npm/composer/pip/cargo/go など）に対してエコシステム固有の脆弱性スキャンを実行するときに使用する。自動修正は任意で有効にできる。

D

dependency-audit

fusengine / claude-plugins

認知的自動化と協調型エージェントシステムによって、開発を再定義します。

D

detecting-insider-threat-with-ueba

mukul975 / anthropic-cybersecurity-skills

Elasticsearch/OpenSearch を使用してユーザーおよびエンティティ行動分析（UEBA）を実装する

D

diffing-binary-patches

trilwu / secskills

パッチ適用前後のバイナリを比較し、セキュリティパッチが修正する脆弱性を特定します。BinDiff、Diaphora、ghidriff で変更された関数を見つけ、追加されたチェックからバグの種類を特定し、パッチ適用前に到達可能なトリガーを推定して 1-day 分析を行います。DLL/ELF の 2 バージョンの比較、差分比較用の MSU/MSP からの Microsoft パッチ抽出、曖昧なアドバイザリから実際の変更コードを特定する場合に使用します。

D

dodo-webhook

tushaarmehtaa / tushar-skills

Next.js または FastAPI で安全かつ冪等な Dodo Payments webhook とデータベース同期を実装する。Dodo の支払いまたはサブスクリプションイベントを扱う場合に使用。

D

dpa-drafting

mukul975 / privacy-data-protection-skills

GDPR 第 28(3) 条に基づくデータ処理契約の作成。対象、期間、性質と目的、データの種類、データ主体のカテゴリ、管理者と処理者の義務、再処理者のカスケード要件を含む 8 つの必須条項すべてを扱う。

D

dynamic-instrumentation

gmh5225 / awesome-llvm-security

LLVM ベースの動的バイナリ計装、ランタイムトレーシング、プログラム監視に関する専門知識。ランタイム分析ツール、コードカバレッジシステム、プロファイラー、動的セキュリティモニターを実装する際にこのスキルを使用する。

E

erpnext-permissions

impertio-studio / frappe_claude_skill_package

Frappe FrameworkおよびERPNext v14-v16の開発・運用向け、決定論的なClaude AIスキル60種

E

extracting-config-from-agent-tesla-rat

mukul975 / anthropic-cybersecurity-skills

Agent Tesla RAT のサンプルから埋め込まれた設定を抽出する（以下を含む）