テスト・セキュリティのスキル

ブラウザ内で起きる認証回避や情報漏えいの原因を調べ、DOM操作、画面間通信、CSSなどの問題を実際の影響とともに検証する診断スキル。

• ブラウザ側のスクリプト注入調査
• 画面間通信の送信元確認の点検
• CSS経由の情報漏えい検証

見つかったクラウド認証情報が持つ権限と、より強い権限へ進む経路を調べます。AWS・Azure・GCPとKubernetesを対象に、本人確認から影響評価、操作記録までを案内します。

• 発見したクラウド認証情報を評価したいとき
• ロールの信頼関係と越境アクセスの点検
• Cognitoの匿名利用者権限の確認

ログイン中の利用者に意図しない操作を実行させるCSRFを調べます。トークン、Cookie、JSON API、外部アカウント連携を点検し、ブラウザーでの再現と実際の影響を整理するスキルです。

• メール変更や決済のCSRF対策の点検
• JSON APIの外部フォーム受け入れ確認
• 外部アカウントの意図しない連携の点検

Next.jsサイトの認証回避やデータ漏えい、キャッシュ汚染などを調べるスキル。Server Actionsや画像最適化など機能別の検証手順と誤検知の確認点を整理します。

• Server ActionsやMiddlewareの認証確認
• 画像最適化による意図しない通信の検証
• ページデータの機密情報漏えい確認

決済やクーポン、本人確認などの処理の抜け道を調べ、価格改変や重複利用、確認手順の省略が金銭的損失や不正アクセスにつながるかを検証するスキル。

• 決済金額と通貨処理の点検
• クーポンや残高の重複利用の確認
• メール・電話の確認フローの点検

保存・送信されたデータをオブジェクトに戻す処理を調べ、JavaやPHP、Pythonなどで外部入力がコマンド実行につながる脆弱性を探すスキルです。

• Cookieや本文のシリアライズ形式の探索
• ソース内の危険な復元処理の確認
• 言語別ツールで復元処理を検証したいとき

ログインや登録フォームのCAPTCHA検証を調べ、項目の省略、空値、トークンの再利用や別操作への流用で処理が通る不備を確認するスキルです。

• ログイン画面のCAPTCHA検証
• 登録・パスワード再設定機能の診断
• トークンの再利用や流用の確認

セキュリティ診断の方式と対象の技術構成に応じて、必要なスキル群や報告形式を選び、読み込んだ内容を一覧化して診断開始の準備を整えるスキル。

• レッドチーム診断のスキル準備
• Webアプリ診断のスキル読み込み
• 複数ホストの技術別スキル選定

検索結果やプロフィール、コメント、通知メールなどで、入力したHTMLタグがそのまま表示に使われる問題を調べ、証拠と影響を確認するスキル。

• 検索結果のHTML処理を確認したいとき
• プロフィールやコメントの保存後の表示確認
• 通知メールのHTML表示を点検したいとき

KubernetesとDockerの公開APIや権限設定、認証情報の扱いを点検します。実際のデータ参照やコマンド出力を証拠に、コンテナ基盤への影響を検証します。

• 公開Kubernetes APIとkubeletの点検
• RBACとサービスアカウントの権限確認
• etcdやDashboardの情報公開調査

ログインや認証コードの試行回数制限、ユーザー名の推測につながる応答差を点検し、見えにくい制限も区別して、認証まわりの弱点と影響を検証するスキル。

• ログインの試行回数制限を調べたいとき
• OTPや再設定コードの保護を点検
• 登録済みアカウントの推測可否を確認

金融サービスのGraphQL APIを対象に、送金や出金の権限、金額の丸め、二重実行、個人情報の公開範囲を調べ、残高や台帳の変化で影響を確かめるスキル。

• 送金や出金の権限を点検したいとき
• 丸め誤差や二重実行を調べたいとき
• 本人確認情報の公開範囲の点検

AWS・GCP・Azureのストレージや公開サービスにある設定不備を調べます。公開情報とJavaScriptから候補を探し、実際のデータアクセスや権限の影響を検証するスキルです。

• S3・GCS・Azure Blobの公開確認
• サーバーレスや管理サービスの露出調査
• CloudWatch RUMのゲスト権限確認

MongoDBなどを使うAPIへの入力を調べ、検索条件の不正な操作によるログイン回避やデータ漏えいにつながるNoSQLインジェクションを検証するスキル。

• MongoDBのログイン回避の検証
• 検索条件やURL入力の安全性点検
• 応答時間を使った注入疑いの調査

DevSpaceの変更をローカルで手動検証するため、設定や認証情報を作業用に複製し、専用環境の初期化から画面のビルド、起動、リセットまで案内します。

• 作業ツリーでローカル検証したいとき
• ChatGPTの画面変更を確認したいとき
• 検証用の状態を作り直したいとき

コードを厳しく点検する役、指摘と修正を再検証する役、結論を裁定する役でレビューを進めます。実測の証拠を確認し、修正で生じた不具合や見落としを探します。

• リリース前のコードレビュー
• 大規模な変更の不具合確認
• 修正が実際に効いたか検証したいとき

AIエージェント向けのスキルやプラグイン、MCPサーバーを導入前にローカルで検査します。不正な指示、危険なコマンド、秘密情報の漏えい、依存関係のリスクを確認します。

• SKILL.mdを導入前に確認したいとき
• MCPサーバーの不審な指示やコマンドの検査
• 外部のエージェント用リポジトリの監査

失敗するテストを先に書き、通る最小限の実装を一つずつ進めます。利用者と合意した公開インターフェースで振る舞いを検証し、内部構造の変更に耐えるテストを目指すスキルです。

• テストを先に書いて機能を作りたいとき
• 不具合の再現テストから修正したいとき
• 振る舞いを確かめる結合テストの作成

TypeScriptのテスト内にある型断言を `@total-typescript/shoehorn` に置き換え、一部の属性だけのデータや意図的に不正なデータを用意するスキル。

• テスト内の型断言を置き換えたいとき
• 必要な属性だけのテストデータ作成
• 不正な入力でエラー処理を試したいとき

Kodeでツールの実行が拒否されたり、権限確認が繰り返されたりする原因を調べます。許可リストやコマンド別の制約、サブエージェントへの権限継承を確認します。

• ツールが予想外に拒否される原因調査
• 権限確認が繰り返される原因調査
• 親子エージェントの権限差の確認

ローカルのWebアプリをPlaywrightで操作し、画面機能の検証や不具合調査、スクリーンショット撮影、ブラウザログの確認を支援するスキル。

• ボタンやリンク、フォームの動作確認
• 動的な画面の不具合を調べたいとき
• ローカルアプリの画面撮影

Kilnの画面を実ブラウザで操作し、表示確認やスクリーンショット撮影、E2Eテストを進めます。サンプルデータ入りの検証環境で、変更した画面の動作を確かめます。

• 変更した画面の表示と動作を確認するとき
• Kilnの画面を撮影したいとき
• 既存のE2Eテストを実行・調査するとき

KilnのブランチやPRを対象に、複数のエージェントが実ブラウザで操作を確認します。検証環境を分けて不具合を探し、再現手順付きの報告を深刻度順にまとめます。

• ブランチやPR全体を検証したいとき
• 複数の機能領域を並行検証したいとき
• 画面の文言や操作の不整合を探すとき

Kilnのリリース候補に標準チェックと実APIの動作確認を行い、失敗原因やテスト用モデルの古さを調べます。コードは変更せず、推奨対応を報告します。

• 公開前のリリース候補を検証
• 実APIテストの失敗原因を調べたいとき
• テスト用モデルの古さを確認