バグバウンティ向けの Agent Skills
バグバウンティのスキルは、開示プロセス全体をカバーします。触れてよい範囲のスコープ設定、実際に何が存在するかを把握する偵察、動作するデモで問題を発見し証明すること、防御側が再現して修正できるレポートの作成、開示の対応、そしてトリアージや報奨判断といったプログラム側の作業です。これらは単一のツールではなくタスクのスキルであり、プログラムのルール内に留まるのを助けるものもあれば、発見を防御側が行動できる形に変えるものもあります。ランク付けされたリストを使うときは、まずサブトピックのラベルを読んで、最もわくわくする段階ではなく、実際に行き詰まっている段階を選んでください。そのうえで各スキルが入力として何を期待し出力として何を生むかを確認し、既存のワークフローに合うものを選びましょう。
1 件から開始13 件のおすすめ候補
まずはこちらから。
A bounty is a disclosure process: recon, find, prove, report, then wait through triage — with rules that protect both sides.
関連性の高い結果です。Skill の説明を読み、目的に合うか確認してください。
- 順位 01Agent Skill を見る直接一致
penetration-testing-with-strix
Strix でウェブアプリ、API、コードベース、リポジトリ、URL、ドメイン、IP をペネトレーションテスト — 脆弱性を指摘するだけでなく、実際に悪用して証明する自律型 AI ペネトレーションテスト（OWASP Top 10 およびそれ以上 — インジェクション、XSS、SSRF、認証/アクセス制御の欠陥、IDOR、ビジネスロジック）。セルフホストで実行…
12,429 · 人気度
ほか 12 件の Agent Skills を表示
- 順位 09Agent Skill を見る一致の可能性
differential-review
コード変更に対するセキュリティ重視の差分レビューを実行する。コードベースの規模に応じて分析の深さを適応させ、文脈にgit blameを使用し、呼び出し元を数えてブラスト半径を計算し、変更されたコードのテストカバレッジを確認し、markdownレポートを生成する。PR、コミット、diffを…のためにレビューするときに使用。
7,486 · 人気度 - 順位 10Agent Skill を見る一致の可能性
fp-check
疑わしいセキュリティバグを体系的に検証して誤検知を排除し、各々について文書化された証拠を伴うTRUE POSITIVEまたはFALSE POSITIVEの判定を出します。特定の所見が本物か、悪用可能か、誤検知かを問われたとき、または疑わしい…を検証・確認するときに使用します。
6,501 · 人気度 - 順位 11Agent Skill を見る一致の可能性
find-bugs
ローカルブランチの変更におけるバグ、セキュリティ脆弱性、コード品質の問題を検出します。変更のレビュー、バグの発見、セキュリティレビュー、現在のブランチのコード監査を依頼されたときに使用します。
6,562 · 人気度 - 順位 12Agent Skill を見る一致の可能性
security-review
脆弱性のためのセキュリティコードレビュー。「security review」「find vulnerabilities」「check for security issues」「audit security」「OWASP review」を求められた場合、またはインジェクション、XSS、認証、認可、暗号化の問題についてコードをレビューする場合に使用します。体系的なレビューを提供し…
19,221 · 人気度 - 順位 13Agent Skill を見る一致の可能性
security-best-practices
公式言語とフレームワーク固有のセキュリティベストプラクティスレビューを実施し、改善を提案します。ユーザーがセキュリティベストプラクティスのガイダンス、セキュリティレビュー/レポート、またはセキュアバイデフォルトのコーディング支援を明示的に要求した場合にのみトリガーします。対応言語（python、javascript/typescript、go）の場合にのみトリガーします。一般的なコードレビュー、デバッグ、セキュリティ以外のタスクではトリガーしません。
- 順位 14Agent Skill を見る一致の可能性
golang-security
Golangのセキュリティベストプラクティスと脆弱性防止 — インジェクション（SQL、コマンド、XSS）、暗号技術、パストラバーサル、SSRFとHTTPセキュリティヘッダー、Cookie、シークレット管理、メモリ安全性、ログ内のPII、STRIDE/DREAD脅威モデリング、さらに`gosec` SAST、レース検出、ファズテスト。…
38,753 · 人気度 - 順位 15Agent Skill を見る一致の可能性
audit-website
注目squirrelscan CLIでウェブサイトを監査し、コード内で指摘事項を修正。SEO、パフォーマンス、セキュリティ、テクニカル、コンテンツ、アクセシビリティ、その他15のルールカテゴリ（260以上のルール）を実行し、LLM最適化レポートを返し、反復修正ループを駆動。問題をソースファイルにマッピングし、修正を適用し、サイトが良好なスコアになるまで再監査。ウェブサイトやwebappの問題を発見・評価し、修正まで導くために使用。
前提条件（自己申告）: CLI tool
71,267 · 人気度 - 順位 16Agent Skill を見る一致の可能性
browser-fingerprint-audit
liarjs CLIでブラウザフィンガープリントの内部矛盾を監査 - canvas、WebGL、WebGL2、WebGPU、audio、220フォント、WebRTC、タイムゾーンのプローブを、同一リクエストのTLS／HTTP／ASNの見え方と照合してスコア化。ブラウザフィンガープリントテストの実行を求められたとき、フィンガープリントがどう見えるかを確認したいとき…
前提条件（自己申告）: Node.js
81,196 · 人気度 - 順位 17Agent Skill を見る一致の可能性
agent-browser
inference.sh経由のAIエージェント向けブラウザ自動化。ウェブページを操作し、@e参照で要素と対話し、スクリーンショットを撮り、動画を録画します。機能：ウェブスクレイピング、フォーム入力、クリック、タイピング、ドラッグ＆ドロップ、ファイルアップロード、JavaScript実行。用途：ウェブ自動化、データ抽出、テスト、…
131,791 · 人気度 - 順位 18Agent Skill を見る一致の可能性
github-issue-creator
公式生のメモ、エラーログ、音声ディクテーション、スクリーンショットを、簡潔なGitHub Flavored Markdownのissueレポートに変換する。ユーザーがバグ情報、エラーメッセージ、非公式な説明を貼り付け、構造化されたGitHub issueを求める場合に使用。視覚的証拠として画像/GIFをサポート。
- 順位 19Agent Skill を見る一致の可能性
docx
公式ユーザーがWord文書（.docxファイル）やWordテンプレート（.dotxファイル）を作成、閲覧、編集、操作したい場合は常にこのスキルを使用。トリガーには、「Word doc」「word document」「.docx」「.dotx」への言及、または目次、見出し、ページ番号、レターヘッドなどの書式を備えたプロフェッショナルな文書の作成依頼が含まれる。.docxや.dotxファイルからの内容抽出や再構成、文書への画像の挿入や置換、Wordファイルでの検索と置換、変更履歴やコメントの操作、内容を洗練されたWord文書への変換にも使用。ユーザーが「レポート」「メモ」「レター」「テンプレート」などの成果物をWordまたは.docxファイルとして求めた場合もこのスキルを使用。PDF、スプレッドシート、Google Docs、文書生成と無関係な一般的なコーディングタスクには使用しない。
- 順位 20Agent Skill を見る一致の可能性
xlsx
公式スプレッドシートファイルが主要な入力または出力となる場合は常にこのskillを使用する。つまり、ユーザーが次のことを望むあらゆるタスク：既存の.xlsx、.xlsm、.xltx、.csv、.tsvファイルを開く、読む、編集する、修正する（例：列の追加、数式の計算、書式設定、グラフ作成、乱雑なデータのクリーンアップ）、ゼロから、または他のデータソースから新しいスプレッドシートを作成する、表形式ファイル形式間で変換する。特に、ユーザーがスプレッドシートファイルを名前やパスで言及したとき（気軽に「ダウンロードにあるxlsx」のように言う場合でも）、それに対して何かを実行したり、そこから何かを生成したりしたいときにトリガーする。乱雑な表形式データファイル（不正な行、位置ずれしたヘッダー、不要なデータ）を適切なスプレッドシートにクリーンアップまたは再構築する場合にもトリガーする。成果物はスプレッドシートファイルでなければならない。主要な成果物がWord文書、HTMLレポート、単体のPythonスクリプト、データベースパイプライン、Google Sheets API連携である場合は、表形式データが関与していてもトリガーしない。
このトピックの内容
各サブトピックは、特定の状況に合う Agent Skills をまとめたものです。
- Scope & rules
- What you are allowed to touch, and what gets you in trouble.
- Recon
- Map what actually exists before poking it.
- Find & prove
- A working demonstration, not a theory.
- Report
- Enough for a defender to reproduce and fix.
- Disclosure
- When (and whether) the rest of the world hears.
- Triage & bounty
- The program's side: is this real, in scope, and worth paying?
よくある質問
- このリストはどのように並べられていますか？
- 観測された検索需要によってランク付けされ、トピックに直接一致するものが最初に配置され、単一のパブリッシャーが占められるSkillの数には上限があります。
- バウンティ作業が初めての場合、どのステージから始めるべきですか？
- スコープとルールから始めてください。バウンティの方向づけはルールが双方を守る開示プロセスだからです。偵察や発見・証明のスキルは、何に触れてよいかをすでに知っていることを前提としています。
- これらのスキルはバウンティのプログラム側をカバーしますか？
- はい。トリアージとバウンティはサブトピックの1つで、レポートが本物か、スコープ内か、報酬を支払う価値があるかを判断します。これは、リサーチャー側の偵察、発見と証明、レポート、開示という段階と並びます。
- 発見と証明のSkillと報告のSkillを分けるものは何ですか？
- 発見・証明は、理論ではなく動作するデモを作り出すことです。報告は、防御側が問題を再現して修正するのに十分な情報を与えることであり、証明そのものとは別の成果物です。
Agent Skill のインストール方法
Agent Skills は SKILL.md ファイルです。適切な skills ディレクトリに置くと、多くのエージェントが自動で認識します。
- Claude Code — copy the SKILL.md for penetration-testing-with-strix into ~/.claude/skills/penetration-testing-with-strix/ for yourself, or .claude/skills/penetration-testing-with-strix/ to share it with a project.
- From the registry — run npx skills add usestrix/strix@penetration-testing-with-strix.
- Or download penetration-testing-with-strix from its source and place that SKILL.md in the directory above.
選び方 インストール前に出典と Skill 自身の説明を確認してください。Official と Notable は出所を示すラベルです。