テスト設計、脆弱性診断、品質保証（1.3万 件）
user-level / PJ-level の指示ファイル・スキルを個別に修正する。Claude の間違いの再発防止依頼時、/update-inst 実行時、作業で得た運用知見を AGENTS.md / CLAUDE.md・context・スキルに追記する依頼時、「このセッションの学びを反映して」等セッション全体の振り返りを求められた時（retro モード）に使用。境界: 指示ファイル全体の監査は instructions-audit、新規スキルは create-skill。
dependabot 設定（.github/dependabot.yml）の新規作成・整備。リポジトリから ecosystem を自動検出し、lockfile コンフリクトを避ける group 設計と security fast-track を備えた設定を生成する。dependabot 設定の作成・見直し・追加の依頼時、/setup-dependabot 実行時に使用。境界: Renovate は対象外。dependabot が作った PR の対応は pr-review 等の通常フロー。
既存の計画・設計・アイデアを尋問形式でストレステストし、前提と未決定事項を洗い出す対話スキル。「グリルして」「grillして」「この計画を詰めて」「計画の穴を突いて」「ストレステストして」等の依頼時、実装着手前に計画の前提を検証したい時に使用。要件書等は生成せず、確定した重要決定だけを ADR に記録する。境界: ゼロからの要件定義は design-feature。
スキルを新規作成する。「スキルを作って」「この手順をスキル化して」等の依頼時、/create-skill 実行時に使用。AGENTS.md・context・既存スキルと整合させ、重複・競合を避ける。境界: 既存スキル・指示ファイルの修正は update-inst、指示ファイル全体の監査は instructions-audit。
マシン上の git worktree とローカルブランチを横断で棚卸しし、マージ済みかを判定して安全に削除する。「worktree を整理して」「マージ済みブランチを消して」「worktree を全部リストして」等の依頼時、/worktree-audit 実行時に使用。境界: 単一 worktree の作成・片付け手順は context/worktree-guide.md、コードベースの監査は codebase-review。
Keep GPT-5.6 and other coding-agent work proportional to the request by locking scope, choosing the smallest sufficient implementation, matching verification to risk, and stopping when success is proven. Use for implementations, bug fixes, refactors, reviews, or maintenance where scope creep, speculative abstractions, unrelated cleanup, repeated test runs, unnecessary dependencies, or polishing beyond the request are risks.
日本語の概要は準備中です。原文の説明を表示しています。
Shakes your mental models with critical rigor, challenges assumptions, exposes blind spots, and provides multi-perspective insights as a strict thinking mentor. Deliberately breaks format conventions to stimulate genuine cognitive discomfort. Use when you want to stress-test an idea, shake your mental model, ask to challenge my assumptions, find blind spots, deepen my thinking, or request critical review with phrases like yusaburi or what do you think of this plan.
日本語の概要は準備中です。原文の説明を表示しています。
社員が申請したソフトウェア・SaaS・クラウドサービスの社内利用可否を、企業のIT/セキュリティ統制の観点から調査・評価するスキル。「〇〇のセキュリティ評価をして」「〇〇は社内で使っても大丈夫？」「このSaaSのセキュリティチェックをして」「新しいツールの導入審査をして」「〇〇と△△どちらが安全？」のような依頼で必ず使うこと。「セキュリティ」という言葉がなくても、特定のツール・サービスの社内導入可否・利用申請・リスク判断が話題になったら使う。Web検索で一次情報（プライバシーポリシー、利用規約、セキュリティホワイトペーパー、第三者認証）を収集し、6分野18項目のチェックリストに基づく3段階リスク評価付きの日本語レポート（Markdownファイル）と、ワークフロー（稟議）システムの承認コメント欄に貼れる短文サマリーを生成する。
review-all を実行し、指摘内容をコードに反映、bun run c / bun run lint / bun test で自己検証し、CONVERGED/NOT_CONVERGED の収束判定付き完了レポートを /tmp/arima-review-fix-result.md に出力する。レビュー→修正→検証→レポートを一気通貫で行うスキル。スコープ引数は /review-all と同じ（wt / PR #N / vs:<branch> / range / ファイル列挙）。review-fix-loop からの自動呼び出し（mode=non-interactive）にも対応。Use when user says 'レビューして直して', 'review and fix', '自動修正', 'レビュー反映', or when invoked by review-fix-loop.
全 8 レビュースキル（arch/code/scoring/security/test/naming/recovery/comments）を並列実行し、統合レポートを出力するオーケストレーションスキル。レビュー範囲は引数で指定可能（wt=作業ツリー / PR #N / pr:N / vs:<branch> / git range / ファイル列挙、デフォルトは比較ブランチとの差分）。Use when user says '全レビュー実行', 'review all', '一括レビュー', '総合チェック', 'PR レビュー', or '<branch> との差分レビュー'.
有馬記念分析システムのアーキテクチャ/レイヤー境界レビュー。docs/ARCHITECTURE.md のレイヤー構成（commands / domain / repositories / models / features / constants / database / utils / types）に対し、レイヤーディレクトリの意味と配置、参照系(queries)と更新系(aggregates)の分離、DB 接続の注入可能性とテスト容易性、リッチドメインモデルの維持（commands 肥大・ドメイン貧血症）、重み・閾値の constants 単一定義、ファイル配置と命名語彙の一致、不要な抽象化、種別分岐のポリモーフィズム化、生成引数の凝集（5個以上は分割シグナル）を検証。純粋性・依存方向の逆流・DB 接続の生成箇所は lint が error で担保するため扱わない。Use when user says 'アーキテクチャレビュー', 'レイヤー境界チェック', 'review architecture', or '依存方向の確認'.
スコアリング / ML のドメイン正しさのレビュー。SCORE_WEIGHTS の単一定義と合計1.0・ドキュメント追随、スコアリングと ML の10要素の一致（手書きで並ぶ全箇所の同時更新）、未来情報リーク（as-of カットオフを通していない取得経路の新設）、値域0〜100とゼロ除算、データ欠損時の既定値、学習・予測の決定性と再現性、JRA 枠番割当規則、バックテスト指標（1位的中率・上位3頭精度・順位相関・ROI）の計算を検証。Use when user says 'スコアリングレビュー', 'review scoring', 'ML レビュー', 'スコア計算チェック', '特徴量チェック', or 'バックテスト検証'.
外部データ取得と取り込み経路のセキュリティレビュー。JRA 以外のホストへ取りに行かせない URL 検証（SSRF）、スクレイピングの作法（User-Agent・リクエスト間隔・タイムアウト）、外部由来 HTML/JSON を無検証で DB に入れない、クエリを Kysely で組み立て生の SQL 文字列を増やさないこと、CLI 由来のファイルパスの扱い、生成物（*.db / data/extracted-*.json / data/jra-page.html）と .env をコミットさせないことを検証。Use when user says 'セキュリティレビュー', 'review security', 'セキュリティチェック', 'SSRF確認', or 'SQLインジェクション確認'.
テスト品質のレビュー（bun:test）。`bun test` の全通過、エンティティのビルダー直接検証と createTestDb による実 SQLite E2E の使い分け、実ネットワーク（JRA）非依存、回帰テストの存在（ImportData の一致条件・枠番の JRA 割当規則・生年計算）、回帰テストの削除/skip 化の禁止、新機能・バグ修正へのテスト追随、契約の検証 vs 実装詳細への過剰結合、console spy と一時ファイルの後始末を検証。Use when user says 'テストレビュー', 'review test', 'テスト品質チェック', or 'カバレッジ確認'.
Orchestrate the privacy & data protection team — dpo-privacy-specialist, database-architect, auth-security-specialist, frontend-engineer, appsec-engineer, qa-tester — LGPD compliance, consent ledgers, DSAR, and privacy-by-design.
日本語の概要は準備中です。原文の説明を表示しています。
Design and implement immutable, hash-chained audit logging for accountability (LGPD Art. 6, X) and incident registration (Res. 15/2024 Art. 10, 5-year retention). Use when user asks 'audit log', 'log de auditoria', 'logging LGPD', 'accountability log', or as part of audit pipeline. Outputs schema + middleware patterns for Next.js.
日本語の概要は準備中です。原文の説明を表示しています。
Maestro orchestrator for end-to-end LGPD (Lei 13.709/2018) compliance in a software project. Use for "como estamos de LGPD", "audite LGPD", "nos deixe LGPD seguros", "gap analysis LGPD", "compliance LGPD", "auditar privacidade", "LGPD do projeto", or any request to assess, implement, or retrofit privacy compliance — including English phrasings like "are we privacy-safe", "audit our privacy", or "we collect personal data, what do we need". Chains specialized sub-skills (data mapping, legal basis, consent, DSAR, incident response, ROPA, RIPD, retention, vendor audit, DPA, international transfer, encarregado, and ECA Digital / Lei 15.211/2025 for platforms with minors) and produces versioned artifacts under .lgpd/. Trigger even when the word "LGPD" is not used.
日本語の概要は準備中です。原文の説明を表示しています。
Implement endpoints and workflow for data subject access requests (direitos do titular) under LGPD Art. 18. Use when user asks for "DSAR", "direitos do titular", "exportar dados do usuário", "portabilidade LGPD", "exclusão de conta LGPD", "right to be forgotten", or as part of audit pipeline. Covers all 9 rights (confirmação, acesso, correção, anonimização, portabilidade, eliminação, info compartilhamento, info não-consentir, revogação). The 15-day deadline (Art. 19, II) is non-negotiable — encoded in this skill. Outputs `.lgpd/dsar/workflow.md` + endpoint specs.
日本語の概要は準備中です。原文の説明を表示しています。
Run a gap analysis and retrofit plan for an existing system that wasn't built with LGPD in mind. Use when user asks 'auditar projeto legado LGPD', 'gap analysis LGPD', 'sistema antigo LGPD', 'temos LGPD?', 'estamos em compliance?', or when invoking saas-lgpd-audit on a legacy codebase. Produces prioritized remediation plan in `.lgpd/gaps.md`. Entry point for Pipeline B.
日本語の概要は準備中です。原文の説明を表示しています。
Configure encryption at rest, in transit, and key management aligned with LGPD Art. 46 (security duty) and the ANPD's Guia de Segurança da Informação para ATPP. Use when user asks 'criptografia LGPD', 'KMS', 'TDE', 'encryption at rest', 'rotação de chaves', 'pgcrypto', 'column-level encryption'. Tailored for Prisma/PostgreSQL/Better Auth stack.
日本語の概要は準備中です。原文の説明を表示しています。
Draft, version, and publish a privacy policy compliant with LGPD Art. 9 (seven mandatory elements) and ECA Digital if minors are present. Use when user asks "política de privacidade", "privacy policy", "termos de uso", "aviso de privacidade", or as part of an audit pipeline. Versions every published change. Output goes to `.lgpd/policies/privacy-policy-v{N}.md`. CHECKPOINT skill — never publish without legal review.
日本語の概要は準備中です。原文の説明を表示しています。
Execute the LGPD security incident response runbook (Art. 48 LGPD + Resolução CD/ANPD nº 15/2024). Use when user says "tivemos um incidente", "vazamento de dados", "data breach", "preciso comunicar a ANPD", "incident response LGPD", or as part of an audit pipeline preparing the runbook in advance. Encodes the 3-business-day deadline to notify ANPD and data subjects, the 12 mandatory items for ANPD notification, the 7 items for subject notification, and the 5-year retention requirement for ALL incident records (notified or not). Cite Resolution 15/2024 explicitly in outputs.
日本語の概要は準備中です。原文の説明を表示しています。
Generate and maintain the Registro de Operações de Tratamento de Dados Pessoais (ROPA) required by LGPD Art. 37. Use when user asks for "ROPA", "registro de operações", "registro de tratamento", or as part of the saas-lgpd-audit pipeline. Consolidates input from `saas-lgpd-data-mapping` and `saas-lgpd-legal-basis` into the official ANPD template structure. Especially relevant when preparing for ANPD inspection or onboarding a new vendor that requests the ROPA.
日本語の概要は準備中です。原文の説明を表示しています。
Designate and publish the Encarregado (DPO) per LGPD Art. 41 + Resolução CD/ANPD nº 18/2024. Use when user asks 'designar DPO', 'encarregado LGPD', 'quem é o DPO', or as part of audit pipeline. Note ATPP exemption (Res. 2/2022 Art. 11) but recommend designation anyway as best practice.
日本語の概要は準備中です。原文の説明を表示しています。