テスト・セキュリティのスキル

認証・決済・個人データを扱うコードや依存パッケージの脆弱性を調べ、重大度・該当箇所・修正方法を報告し、修正後の再検証まで進めるスキル。

• 認証処理とアクセス権限の点検
• 決済コードのセキュリティ監査
• 依存パッケージの既知の脆弱性確認

実装した基盤機能がシステムにつながり、実際に呼び出されるかを確認します。実行経路、フック登録、接続先、未使用コードを点検し、一連の動作を通して完了を判断するスキル。

• 追加した基盤機能の呼び出しを確認したいとき
• フックの登録と設定を点検したいとき
• 想定したデータベースの利用を確認したいとき

Agenticaの非同期REPLでテストを行う際、ツールの結果をawaitで待ち、計算と結果の返却を一つのコードブロックにまとめるための実行規約を示すスキル。

• Agenticaの非同期REPLで呼び出しを確認したいとき
• ファイルの読み取り結果を待って処理したいとき
• 計算と返却を一つのコードブロックにまとめたいとき

データを保存する一連の処理を、最初から最後まで通してテストするためのスキルです。E2Eテスト向けですが、資料に具体的な検証手順は記載されていません。

• データ保存の処理全体を検証したいとき
• 保存処理のE2Eテストを検討したいとき
• 永続化テスト用スキルの用途確認

実行済みのサンプルプログラムのログとソースを照合し、想定した動作が起きたかを確認します。全項目の成功・失敗・スキップを根拠付きで分類する、読み取り専用のスキルです。

• 完了したサンプル実行を検証したいとき
• 正常終了した例の実際の動作確認
• コードの失敗と環境制約の切り分け

JS SDKのテストカバレッジを測定し、公開機能やエラー処理などの未検証の挙動を洗い出します。調査結果の報告から、依頼範囲のテスト追加と再測定まで扱います。

• JS SDKのカバレッジ監査
• カバレッジ低下の原因調査
• 未検証の公開機能を補いたいとき

JS SDKのログや例外、診断情報へのモデル・ツールの入出力の漏出を調べます。値の出所と抑制設定を確認し、実証された漏出の修正と再発防止テストを進めます。

• モデル・ツールの入出力漏出の監査
• ログのデータ抑制設定の確認
• 例外ログ経由の漏出を直したいとき

SDKのコードやテストを変更した後、レビュー完了を起点に依存関係の導入からビルド、型検査、テスト、整形までを実行し、完了前に必要な検証をまとめて確認します。

• SDKのコード変更後の最終確認
• テストやビルド設定の変更確認
• 修正後に全体検証をやり直したいとき

コードレビューや通常のテストでは判断できない実行時の挙動を調べます。検証条件と影響を事前に示し、承認された一時スクリプトで観測結果と根拠を報告します。

• 通常のテストで説明できない挙動の調査
• 条件をそろえて遅延を比較したいとき
• 外部連携の失敗や再試行の検証

公開GitHubリポジトリの不審な活動を複数の専門エージェントで調査し、証拠収集から仮説の検証、時系列や影響をまとめた報告書の作成まで進めるスキル。

• 公開リポジトリの不審な活動の調査
• 削除された情報やコミットの証拠収集
• 外部報告と原典の照合

検出された脆弱性について、コードの実在、攻撃経路、再現結果、悪用の前提条件を段階的に検証し、誤検知や到達不能な指摘を整理して根拠付きの報告にまとめます。

• スキャナーの検出結果を精査したいとき
• 到達不能なコードや前提条件の確認
• メモリ破壊の悪用制約を調べたいとき

コードの未レビュー箇所を対象に、脆弱性の仮説を立てて解析ツールで検証します。到達可能性や類似箇所も調べ、根拠付きの検出結果と監査記録を継続して蓄積します。

• 未レビューのコードを点検したいとき
• 脆弱性の疑いを解析ツールで確かめたいとき
• 確認済みの問題の類似箇所を探したいとき

テストで取得したgcovの実行記録を使い、指定したソースコードの行が実行されたかと実行回数を確認します。複数行をまとめて調べ、未実行の行を特定できます。

• 特定行がテストで動いたか確認したいとき
• 複数行の実行回数の確認
• テストで未実行の行の特定

C/C++のプロジェクトにgcovの計測設定を追加し、テストで実行された行・分岐・関数を確認します。MakefileやCMakeへの組み込みからHTMLレポート作成まで扱います。

• C/C++にカバレッジ計測を追加したいとき
• テストで未実行の行や分岐を探したいとき
• MakefileやCMakeに計測設定を加えたいとき

ソースコードを攻撃者の視点で読み解き、構成や入力データの流れ、類似する脆弱性を調べます。ファイルと行番号の根拠を添え、静的解析や検出結果の検証を支えます。

• 検査前にコードの構成を把握したいとき
• 外部入力の処理経路を追いたいとき
• 既知の脆弱性の類似箇所を探したいとき

実行中のアプリやバイナリに観測用スクリプトを組み込み、API呼び出しや危険な処理の実行状況を記録して、不審な挙動や不具合の調査に使うスキル。

• 危険な処理の実行確認
• 未知のアプリのAPI呼び出し調査
• SSLピンニングで阻まれる通信の調査

GitHubの活動やローカルのgit履歴を調査用の証拠として収集し、JSONで保存・共有します。アーカイブからの削除内容の回収や、元の情報源との再照合にも対応します。

• GitHubのコミットやIssueを証拠保存
• 参照から外れたローカルコミットの調査
• 削除されたGitHubの内容を回収したいとき

GitHubの公開イベント履歴をBigQueryで調べ、操作したアカウントと日時、削除されたPRなどの記録を確認して、セキュリティ事故の経緯を整理します。

• セキュリティ事故の時系列整理
• 削除されたIssueやPRの記録調査
• リポジトリの活動に関する主張の検証

Claude Codeの会話記録からlean-ctxの失敗や再試行を調べ、入力ミスと不具合を切り分けます。再現できた問題は既存報告を確認し、Issueにまとめます。

• lean-ctxの呼び出し失敗を調べたいとき
• 標準ツールへ切り替えた理由の確認
• 誤解を招くエラーメッセージの検証

Tuttiの既存シナリオを実際のエージェントに対して実行し、通信や操作の記録を監査・再生します。再生時の動作と証拠を確認し、不一致の診断や公開を支援します。

• 既存シナリオを実環境で記録したいとき
• 通信やセッション状態の再生不一致の調査
• 操作ごとの再生証拠を確認したいとき

Tuttiのテストが実際の不具合を検出できるかを監査し、追加・修正・統合・削除を判断します。守るべき動作と検証する範囲を整理し、CIでの実行まで確かめます。

• 既存テストの不具合検出力を確認したいとき
• 確認済みバグの回帰テスト設計
• 重複したテストや弱いテストの整理

実装済みの変更を実際の画面やAPIで確かめ、目的・制約・コード品質・安全性を点検します。確認結果の証拠を整理し、未達項目や修正が必要な点を報告します。

• 完成した実装をレビューしたいとき
• PR引き渡し前に実動作を確かめたいとき
• 要件や制約の見落としを調べたいとき

Web画面・ターミナル・PDFなどの見た目を、端末幅や明暗テーマを変えて検証。Appleの設計指針に基づき、画像の証拠と項目別の合否をまとめます。

• UIの実装後や変更後の確認
• 見本と実装画面を比較したいとき
• 日本語の欠けや折り返しの点検

サーバーに意図しない宛先への通信を起こさせるSSRFの検証で、対象範囲や調査の切り替え、再現証拠を整理するスキル。内部通信やクラウドのメタデータを扱います。

• 許可されたSSRF検証の範囲整理
• 通信制限で行き詰まった調査の見直し
• サーバーが通信した証拠の整理