スキル api-spectral

📦

api-spectral

Name: api-spectral
Author: AgentSecOps

v0.1.0 中リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚡ スクリプトを含む

Spectral で API 仕様を検証

API 仕様では、実装開始前にセキュリティ要件が見落とされることがあります。このスキルは、Claude、Codex、Claude Code に対して、Spectral リンティング、OWASP API チェック、ガバナンスワークフローを案内します。

対応: Claude Codex Code(CC)

🥉 79 ブロンズ

スキルの ZIP をダウンロード

Claudeでアップロード

設定 → 機能 → スキル → スキルをアップロードに移動

オンにして使い始める

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-api-spectral.md 署名済み manifest GET /api/skills/agentsecops-api-spectral/manifest 署名済み lockfile GET /api/skills/agentsecops-api-spectral/lockfile

テストする

「api-spectral」を使用しています。 OpenAPI ファイルに、保護されていない書き込み操作と HTTP サーバー URL があります。

期待される結果:

認証、トランスポートセキュリティ、OWASP API カテゴリ別にグループ化された優先順位付きの検出結果リスト。
セキュリティ要件を追加し、HTTP サーバーを HTTPS URL に置き換える修正ガイダンス。
検証用に提案される Spectral コマンドと重大度しきい値。

「api-spectral」を使用しています。チームがプルリクエストで API ルールを使いたいと考えています。

期待される結果:

Spectral をインストールし、選択したルールセットを実行し、レポートを保存し、プルリクエストにコメントする CI ワークフローの概要。
ダウンロードした依存関係を固定し、リモートシェルインストーラーを避けるよう促す警告。
エラーとして適用する前に警告から開始するロールアウト計画。

「api-spectral」を使用しています。セキュリティチームが、機密性の高いクエリパラメータ用のカスタムルールを必要としています。

期待される結果:

シークレットまたは個人データに関連するクエリパラメータ名を対象とするルール設計。
重大度の推奨事項と OWASP API マッピング。
有効および無効な API 仕様例を使ったテストガイダンス。

セキュリティ監査

中リスク

v6 • 6/28/2026

Static analysis reported many command, network, filesystem, environment, script, and weak-crypto patterns. Manual review found these are mostly documentation examples, Spectral rules, and CI templates for security scanning, not hidden runtime behavior. One CI template includes a remote script piped to bash, so publication is acceptable only with a clear warning.

スキャンされたファイル

3,739

解析済み行数

Review items

False positives ignored

Capability review items (4)

These are real local capabilities that may be expected for this skill, so they require review but are not counted as confirmed malicious behavior.

中

assets/ci-config-template.yml:240

Remote Installer Piped to Shell in CI Template

The CI template installs tfsec by piping a remote GitHub script directly to bash. This is not executed by the skill itself, but users who copy the template could run unpinned remote code in CI.

The line directly uses curl with a pipe to bash, which is a recognized supply-chain risk. Confidence is high for the pattern, but impact is reduced because it is an optional template rather than automatic skill execution.

低

assets/rule-template.yaml:93-165 references/EXAMPLE.md:131-149 references/owasp_api_mappings.md:20-47

Static Findings Are Mostly Security Examples

Many flagged commands, weak cryptography terms, XSS sinks, secret names, and reconnaissance words appear in examples that teach users how to detect insecure API patterns.

The surrounding text labels the snippets as vulnerable examples or rule mappings. This strongly supports a false-positive interpretation for most pattern matches.

低

SKILL.md:41-76 SKILL.md:360-374 references/custom_rules_guide.md:408-425

Documented Shell Commands for Spectral Workflows

The numerous shell-command detections are command snippets for installing Spectral, linting API specifications, and wiring CI checks. They do not show covert command execution by the skill.

The locations are fenced examples and workflow documentation. No evidence found that the skill silently runs these commands outside user-directed workflows.

低

SKILL.md:1-24

Prompt Injection Search Found No Evidence

A targeted review for override language, fake system instructions, pre-approval claims, and requests to skip analysis found no evidence in the reviewed files.

The search covered the skill files for the injection phrases specified by the audit task. Confidence is not perfect because semantic variants may exist, but no evidence was found.

リスク要因

⚙️ 外部コマンド (224)

🌐 ネットワークアクセス (30)

📁 ファイルシステムへのアクセス (9)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 assets/github-actions-template.yml:104 assets/github-actions-template.yml:103 assets/github-actions-template.yml:104 assets/github-actions-template.yml:128 references/custom_rules_guide.md:420 SKILL.md:365 SKILL.md:370

🔑 環境変数 (27)

⚡ スクリプトを含む (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

検出されたパターン

Pipe to Shell Pattern

監査者: codex 監査履歴を表示 →

品質スコア

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

セキュリティ

仕様準拠

作成できるもの

構築前に API 設計をレビュー

OpenAPI または AsyncAPI ファイルについて、認証の欠落、安全でないサーバー、機密性の高いクエリパラメータ、OWASP API のギャップをチェックします。

API ガバナンスを標準化

多数の API リポジトリ全体で組織標準を適用する共有 Spectral ルールセットを作成します。

CI に API チェックを追加

ワークフローテンプレートを使用して、プルリクエストやリリースパイプライン中に Spectral の検出結果を報告します。

これらのプロンプトを試す

1 つの API 仕様をリンティング

api-spectral スキルを使用して、Spectral で私の OpenAPI ファイルをリンティングするのを手伝ってください。セットアップ、コマンド、検出結果の読み方を説明してください。

検出結果を OWASP API にマッピング

api-spectral スキルを使用して、これらの Spectral 検出結果を OWASP API Security Top 10 のカテゴリにマッピングし、実践的な修正手順を提案してください。

カスタムルールセットを作成

api-spectral スキルを使用して、当社の API 標準向けの Spectral ルールセットを作成してください。認証、HTTPS、ページネーション、機密データチェックを含めてください。

CI 適用計画を設計

api-spectral スキルを使用して、多数のリポジトリ全体で API 仕様リンティングを段階的に CI 展開する計画を設計してください。しきい値、例外、レポート、開発者フィードバックを含めてください。

ベストプラクティス

まず組み込みの Spectral ルールから始め、その後カスタムセキュリティルールを段階的に追加します。
検出結果を確認済みの脆弱性として扱う前に、手動でレビューします。
CI 依存関係を固定し、ダウンロードしたツールを実行する前に検証します。

回避

リモートダウンロードをレビューせずに CI テンプレートを本番環境へコピーしないでください。
API 例に実際のシークレット、トークン、プライベート URL を含めないでください。
チームが想定される誤検知をレビューする前に、新しいルールでビルドを失敗させないでください。

よくある質問

このスキルは Spectral を自動的に実行しますか？

いいえ。AI アシスタントが Spectral の使用を案内するのに役立つガイダンス、ルールセット、テンプレートを提供します。

どの API フォーマットが対象ですか？

このスキルでは OpenAPI、AsyncAPI、Arazzo を扱い、ほとんどの例は OpenAPI と Spectral に焦点を当てています。

API が安全であることを証明できますか？

いいえ。Spectral は仕様をチェックします。ランタイム認可、実装、ビジネスロジックには、別途レビューが必要です。

なぜ監査で多くのリスクのあるパターンが見つかったのですか？

ほとんどのパターンは、セキュリティ教育と検出に使用される、意図的に脆弱な例、ルール名、または CI スニペットです。

主なセキュリティ上の注意点は何ですか？

ある CI テンプレートでは、リモートインストーラースクリプトを bash にパイプしています。固定され検証済みのインストール方法に置き換えてください。

Claude Code または Codex と一緒に使用できますか？

はい。レポートには Claude、Codex、Claude Code ワークフローのサポートが記載されています。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

Version

v0.1.0

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/api-spectral

参照

main

ファイル構成

📁 assets/

📄 ci-config-template.yml

📄 github-actions-template.yml

📄 rule-template.yaml

📄 spectral-owasp.yaml

📁 references/

📄 custom_rules_guide.md

📄 EXAMPLE.md

📄 owasp_api_mappings.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md