テスト・セキュリティのスキル

ファイルやフォルダを削除する前に、専用ツールで利用者の明示的な許可を確認するスキルです。複数ファイルの一括確認や、拒否された場合の中止手順を定めます。

• ファイル削除前に許可を確認したいとき
• 複数ファイルの削除を一括確認したいとき
• 整理スクリプトに承認手順を設けたいとき

単体・結合・E2Eテストの作成から、性能・セキュリティの検証計画、カバレッジ分析、不安定なテストの原因調査、欠陥報告までを支援するスキル。

• 正常系・異常系のテストを作りたいとき
• テストのカバレッジ不足を調べたいとき
• 不安定なテストの原因を調べたいとき

認証・権限管理や入力検証など、アプリの安全性を支えるコードを実装します。パスワード保護、JWTの検証、攻撃対策の設定から動作確認の観点まで整理します。

• パスワード保護と試行制限の実装
• JWT検証とセッション保護の追加
• SQLインジェクションやXSSの対策

コードやクラウド環境の脆弱性、依存関係、秘密情報の混入を調べ、重大度と修正方法を整理します。自動検査と手動レビューを組み合わせ、監査報告書にまとめるスキル。

• コードの脆弱性を点検したいとき
• 依存関係と秘密情報の混入確認
• クラウドやインフラの安全性監査

エラーやログ、処理の呼び出し履歴を手がかりに、不具合を再現して原因を絞り込みます。仮説を一つずつ検証し、修正と再発を防ぐテストまで進めるスキルです。

• エラー文と呼び出し履歴の調査
• アプリがクラッシュする原因の特定
• ログを照合した障害箇所の特定

ブラウザ上の操作を確認するPlaywrightのテストを作成し、実行のたびに結果が変わる不安定なテストの調査や、継続的な自動実行の設定まで支援するスキルです。

• ログインなどの画面操作のテスト
• 時々失敗するテストを調べたいとき
• API応答をテスト用データに置き換える

分散システムに意図的な障害を起こす実験を設計し、影響範囲の制限、監視、復旧手順、障害対応訓練、結果の振り返りまでを支援するスキルです。

• 影響を限定した障害実験の設計
• KubernetesのPod停止時の復旧検証
• 通信遅延時のサービス挙動確認

依存パッケージの古さと脆弱性を調べ、深刻度と更新の種類で分類します。人の判断が必要な更新を分け、優先順位付きの更新リストに整理するスキルです。

• 古い依存パッケージの更新優先度整理
• 脆弱性への対応を深刻度で分けたいとき
• Major 更新の確認対象を洗い出すとき

実装担当とは別の立場でコード変更を検証し、テスト結果、変更範囲、元の課題との一致を確認。承認・却下・人への判断依頼を根拠付きで示すスキル。

• 別エージェントの実装を検証したいとき
• CI失敗への修正を確認したいとき
• 無関係な変更やテスト無効化の確認

依存パッケージの定義とロックファイルを調べ、古いバージョンや既知の脆弱性を洗い出し、更新の影響度と人への確認が必要な項目を整理するスキル。

• 古い依存パッケージの棚卸し
• 既知の脆弱性と更新候補の確認
• 更新の規模別に対応を分けたいとき

埋め込みブラウザで操作上の不具合を再現し、画面の指定ミスや待機不足、ログイン状態、製品側の問題を切り分けます。最小限の再現手順と根拠をまとめるスキルです。

• ブラウザ操作の不具合を再現したいとき
• 修正後の再発確認
• 待機不足と製品不具合の切り分け

複数のセキュリティ製品の検出結果を、証拠や保存先を確認してからローカルまたはCodex Security Cloudへ取り込むスキルです。

• 既存の検出レポートをローカル保存したいとき
• 証拠を確認してCloudへ取り込みたいとき
• GitHubの警告やGHSAを選んで取り込む

接続済みのCodex Security Cloudから、既存の脆弱性の指摘やレポート、担当者、検証記録、スキャン状況を読み取り、確認できた範囲を整理します。

• Cloudの指摘リンクを確認したいとき
• 重要度・担当者別の指摘一覧
• 保存済みの検証・修正チェックの確認

リポジトリ全体や指定ディレクトリを独立した複数回のセキュリティ監査にかけ、検証済みの指摘と調査範囲を集約したレポートを作成するスキル。

• リポジトリ全体を繰り返し監査したいとき
• 指定ディレクトリを詳しく調べたいとき
• 検証済みの指摘と調査範囲の集約

脆弱性のメモや検証コード、ソース、監査結果を照合し、成立条件と確認できた影響を明確にした、単独で読める報告書にまとめるスキル。複数件にも対応します。

• 調査メモを脆弱性報告書にしたいとき
• ソースと検証コードの主張の照合
• 複数の脆弱性の個別報告書の作成

スキャナーやチケットから届いた脆弱性の指摘を、コードとセキュリティ方針に照らして判定し、悪用のしやすさに基づく優先順位と不足する根拠を整理するスキル。

• スキャナーの脆弱性指摘の精査
• JiraやLinearのセキュリティ案件確認
• GitHubの警告や勧告の評価

検出された脆弱性候補について、再現テストやコードの追跡で根拠を確かめ、報告対象かどうか、判断の確度と未確認点を候補ごとに記録するスキル。

• 脆弱性候補を再現して確かめたいとき
• 過去の誤検知判定の再確認
• 実行環境がないコードの経路確認

リポジトリの構成や攻撃者に可能な操作、信頼の境界を整理し、想定されるセキュリティ上の問題を脅威モデルとしてMarkdownにまとめるスキル。

• システム構成と信頼の境界の文書化
• 脅威モデルを作成・更新したいとき
• 個別の監査に向けた前提整理

PRやコミット、ブランチ、作業ツリーの差分から脆弱性を調べ、削除ファイルや関連コードも確認して、検証結果とレビュー範囲を報告するスキル。

• PRの脆弱性を確認したいとき
• マージ前のコミットやブランチ点検
• 削除ファイルを含むローカル変更の点検

セキュリティ上の指摘について、攻撃者の入口から影響箇所までをコードの証拠で追跡し、反証や既存対策も踏まえて深刻度と報告の要否を判断するスキル。

• 指摘の悪用経路を確認したいとき
• 既存対策を踏まえ深刻度を見直したいとき
• 報告前に反証を検討したいとき

確認済み、または疑いのある脆弱性について、入力から危険な処理までを追跡し、正当な利用や互換性を保つ修正と、再現・回帰テストによる検証を行うスキル。

• 報告された脆弱性を修正したいとき
• 修正を迂回する別入力の確認
• セキュリティ修正の回帰確認

リポジトリやコード変更から脆弱性の候補を探し、攻撃者が操作する入力、問題のある処理や防御、影響箇所を根拠とともに整理して検証につなげるスキル。

• コード変更による安全性への影響確認
• リポジトリ内の脆弱性候補の調査
• 後続の検証に向けた根拠整理

報告された脆弱性が現在のコードで修正されたかを、攻撃経路や回避方法、正常動作の証拠から検証します。ファイルを変更せず、指摘ごとに判定と根拠を返します。

• 報告済み脆弱性の修正を確認したいとき
• セキュリティ修正の回避経路の確認
• コード移動・再構成後の修正検証

検証済みのセキュリティ指摘を、Linear・Jira・GitHubの課題やアドバイザリ下書きに整理し、重複確認と内容承認を経て登録・更新するスキル。

• 検証済み指摘を課題として登録
• 同じ指摘を扱う既存課題の再利用
• 複数の指摘を確認して一括登録