📦
pytm
81pytm Threat Models as Code を構築する
脅威モデリングは、アーキテクチャ変更から切り離され、古くなりがちです。このスキルは、セキュリティレビューと CI のために、pytm モデル、STRIDE 分析、図表ワークフローの作成を支援します。
セキュリティ＆コンプライアンス 表示
スキル sca-trivy
📦
sca-trivy
v0.1.0 コンテンツリビジョン r2 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス
Trivy でコンテナと依存関係をスキャン
未知の CVE や設定ミスは、安全なリリースを遅らせる可能性があります。このスキルは、一般的なデリバリーワークフロー全体で Trivy スキャン、SBOM 作成、修復の優先順位付けをガイドします。
対応: Claude Codex Code(CC)
このスキルはパックに含まれています
タスクに必要なすべてのスキルを、パックごと 1 コマンドでインストールできます。
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "sca-trivy" from https://skillstore.io/skills/agentsecops-sca-trivy.md and its manifest at https://skillstore.io/api/skills/agentsecops-sca-trivy/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「sca-trivy」を使用しています。 コンテナイメージが本番リリースの準備ができているかを評価する。
期待される結果:
- スキャン範囲には、オペレーティングシステムパッケージ、アプリケーションライブラリ、シークレット、設定に関する検出事項が含まれます。
- リスクが正式に受け入れられていない限り、利用可能な修正がある重大な検出事項ではリリースをブロックすべきです。
- 推奨されるフォローアップは、修正済みのベースイメージから再ビルドし、昇格前に再スキャンすることです。
「sca-trivy」を使用しています。 脆弱な依存関係を含むリポジトリの修復計画を作成する。
期待される結果:
- 検出事項は、パッケージ所有者、深刻度、修正済みバージョンの有無によってグループ化されます。
- 即時対応では、ランタイム依存関係にある悪用可能な重大および高リスクの脆弱性を対象にします。
- 低リスクの検出事項は、担当者とレビュー日を設定してバックログに移します。
「sca-trivy」を使用しています。 顧客セキュリティレビュー向けの SBOM ガイダンスを準備する。
期待される結果:
- 顧客のフォーマット要件に基づいて CycloneDX または SPDX を使用します。
- SBOM には内部コンポーネントとバージョンが記載されるため、機密情報として扱います。
- SBOM には、脆弱性の要約と現在の修復状況を併せて提供します。
セキュリティ監査
高リスクv9 • 2026/7/23 バージョン別レポートを開く
All 73 static findings are false positives caused by Markdown code fences, inline code, reference links, and documented configuration paths. Semantic review found mutable CI references, credential exposure guidance, and an ineffective custom-policy gate. These examples require hardening before publication.
1
スキャンされたファイル
458
解析済み行数
0
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (3)
高
Mutable CI Action References
The CI example uses mutable action references, including aquasecurity/trivy-action@master. A changed upstream ref could execute unreviewed code inside trusted CI.
The example directly uses a mutable master branch and mutable major-version action tags in a CI job.
中
Registry Credential Exposure Guidance
Authentication guidance exports TRIVY_PASSWORD and passes --password pass. Real substitutions can leak through shell history, process inspection, logs, or CI traces.
The documented commands explicitly place a password in an environment variable and command-line argument, both common credential exposure paths.
中
Ineffective Custom Policy Gate
The policy example labels --ignore-policy as enforcement but omits a failing exit code. Pipelines may report success while unacceptable findings remain.
The shown command filters with an ignore policy and provides no nonzero exit threshold, despite claiming to deny vulnerable images.
リスク要因
⚙️ 外部コマンド (50)
SKILL.md:39-56 SKILL.md:56-64 SKILL.md:64-76 SKILL.md:76-88 SKILL.md:88-93 SKILL.md:93-101 SKILL.md:101-113 SKILL.md:113-124 SKILL.md:124-147 SKILL.md:147-151 SKILL.md:151-162 SKILL.md:162-164 SKILL.md:164-170 SKILL.md:170-179 SKILL.md:179-194 SKILL.md:194-223 SKILL.md:223-225 SKILL.md:225-226 SKILL.md:226-227 SKILL.md:227-228 SKILL.md:228-230 SKILL.md:230-232 SKILL.md:232-233 SKILL.md:233-234 SKILL.md:234-235 SKILL.md:235-237 SKILL.md:237-239 SKILL.md:239-240 SKILL.md:240-241 SKILL.md:241-242 SKILL.md:242-243 SKILL.md:243-251 SKILL.md:251-266 SKILL.md:266-272 SKILL.md:272-279 SKILL.md:279-285 SKILL.md:285-291 SKILL.md:291-302 SKILL.md:302-309 SKILL.md:309-315 SKILL.md:315-343 SKILL.md:343-344 SKILL.md:344-345 SKILL.md:345-347 SKILL.md:347-354 SKILL.md:354-355 SKILL.md:355-356 SKILL.md:356-357 SKILL.md:357-358 SKILL.md:358-369
🌐 ネットワークアクセス (10)
📁 ファイルシステムへのアクセス (2)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/agentsecops-sca-trivy/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/agentsecops-sca-trivy?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/agentsecops-sca-trivy?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sca-trivy/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/agentsecops-sca-trivy.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
AgentSecOps. (2026). sca-trivy security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sca-trivy/audits/9BibTeX形式の引用
@techreport{agentsecops-agentsecops-sca-trivy-2026,
author = {AgentSecOps},
title = {sca-trivy security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/agentsecops-sca-trivy/audits/9},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sca-trivy security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sca-trivy/audits/9"
identifiers:
- type: other
value: "skillstore:agentsecops-sca-trivy:audit:9"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 55
アーキテクチャ
100
保守性
87
コンテンツ
72
コミュニティ
91
仕様準拠
作成できるもの
コンテナイメージのリリースゲート
デプロイ前にイメージをスキャンし、重大または高リスクの脆弱性でリリースをブロックすべきかを判断します。
依存関係リスクレビュー
プロジェクトの依存関係をレビューし、修正済みバージョンを特定し、開発チーム向けの焦点を絞った修復計画を作成します。
SBOM とコンプライアンス証跡
SBOM 出力を生成し、監査、調達、または顧客セキュリティレビュー向けにコンポーネントリスクを要約します。
これらのプロンプトを試す
1 つのイメージをスキャン
Trivy スキルを使用して、イメージ <image>:<tag> の脆弱性スキャンを計画してください。前提条件、スキャン範囲、深刻度レビューの手順を説明してください。
プロジェクト依存関係をレビュー
Trivy スキルを使用して、このリポジトリの依存関係 CVE を評価してください。ロックファイルの確認、深刻度フィルター、修復の優先順位を含めてください。
CI セキュリティゲートを追加
Trivy スキルを使用して、プルリクエスト向けの CI スキャンを設計してください。SARIF 出力、失敗基準、アーティファクト処理のガイダンスを含めてください。
サプライチェーンプログラムを構築
Trivy スキルを使用して、イメージスキャン、IaC チェック、SBOM 生成、ベースライン、例外処理を含むサプライチェーンスキャンワークフローを定義してください。
ベストプラクティス
- 最新の Trivy データベースでスキャンを実行し、スキャン時刻、対象、深刻度フィルターを記録します。
- 結果が再現可能なビルド入力に対応するよう、ロックファイルと正確なイメージタグを使用します。
- 脆弱性レポートと SBOM は、他のセキュリティ証跡と同じ管理で保存します。
回避
- 所有者、理由、有効期限、補完的な管理策のメモなしに CVE を抑制しないでください。
- 悪用可能性や露出が異なる場合に、深刻度だけを最終的な優先順位として扱わないでください。
- 機密性の高いコンポーネント詳細をレビューせずに、SBOM やレポートを広範に公開しないでください。
よくある質問
このスキルは Trivy をインストールしますか？
いいえ。これは Trivy ワークフローを説明するものです。Trivy は、すでにインストールされているか、実行環境で利用可能である必要があります。
プライベートコンテナイメージをスキャンできますか？
はい。ユーザーがその環境で承認された安全な認証情報の取り扱いを通じてレジストリアクセスを提供する場合に可能です。
SBOM を生成しますか？
はい。このスキルは、イメージおよびファイルシステムプロジェクト向けの CycloneDX と SPDX の SBOM 生成を説明します。
Claude、Codex、Claude Code で使用できますか？
はい。レポートでは Claude、Codex、Claude Code ワークフローのサポートが示されています。
手動の脆弱性レビューを置き換えますか？
いいえ。検出事項の収集と優先順位付けを支援しますが、セキュリティチームが影響と受け入れられたリスクを検証する必要があります。
どのデータを保護すべきですか？
スキャンレポート、SBOM、レジストリ認証情報、CI アーティファクトは、内部ソフトウェアの詳細を露出する可能性があるため保護してください。
開発者情報
作成者
AgentSecOpsライセンス
MIT
作者バージョン
v0.1.0
Skillstore リビジョン
r2
参照
181fdefcafd96b041926e61c4b2e306ca7e7820e
メンテナンスの新しさ
2026/7/25
利用状況
12 ダウンロード · 317 閲覧
ファイル構成
📄 SKILL.md
AgentSecOps のその他のスキル
すべて表示📦
container-hadolint
72HadolintでDockerfileを検証する
Dockerfileには、安全でないパッケージ、rootユーザー、脆弱なエントリポイント、シークレット処理のミスが隠れていることがあります。このスキルは、イメージがビルドされる前にHadolintスキャン、CIゲート、修正手順をガイドします。
セキュリティ＆コンプライアンス 表示
📦
dast-nuclei
38Nuclei DAST スキャンを実行
手動の脆弱性チェックでは、Web アプリや API 全体にわたる既知の CVE や設定上の問題を見逃すことがあります。このスキルは、Nuclei スキャンの計画、CI ワークフローの調整、検出結果のレビューを支援します。
セキュリティ＆コンプライアンス 表示
📦
sast-semgrep
38Semgrep SASTでコードをスキャン
開発チームには、ルールをゼロから作成せずに繰り返し実行できる静的セキュリティレビューが必要です。このスキルは、Semgrepスキャン、OWASPとCWEのマッピング、修復計画、CI統合をガイドします。
セキュリティ＆コンプライアンス 表示
📦
dast-zap
38OWASP ZAPでWebアプリをスキャン
ランタイムのWebセキュリティテストをチーム全体で標準化するのは困難です。このスキルは、承認済みスキャン、APIテスト、認証、CI/CDレポート作成のためのOWASP ZAPワークフローを提供します。
セキュリティ＆コンプライアンス 表示
📦
sast-bandit
38Bandit SASTでPythonコードをスキャン
Pythonチームには、コードがCIに到達する前の高速なセキュリティチェックが必要です。このスキルは、Banditスキャン、pre-commitセットアップ、OWASPおよびCWEマッピング、修正対応をガイドします。
セキュリティ＆コンプライアンス 表示
関連スキル
すべて表示📦
security-scanning-security-dependencies
69依存関係のセキュリティリスクをスキャン
作成者 sickn33
依存関係の脆弱性とライセンスリスクは、複数のエコシステムにまたがると追跡が困難です。このスキルは、スキャン、優先順位付け、SBOM 作成、修復計画を支援します。
セキュリティ＆コンプライアンス 表示
📦
security-analyzer
80プロジェクトのセキュリティリスクを分析
作成者 Cornjebus
依存関係、コンテナ、IaC のデータがリポジトリ全体に分散していると、セキュリティレビューには時間がかかります。このスキルはアセットを棚卸しし、OSV.dev をチェックして、優先順位付きの修復レポートのドラフトを作成します。
セキュリティ＆コンプライアンス 表示
📦
security-sentinel
79セキュリティリスクを検出するコード監査
作成者 Barnhardt-Enterprises-Inc
セキュリティに関わるコードは、認証、入力処理、シークレットに潜む欠陥を抱えたまま出荷されやすいものです。このスキルは、Claude、Codex、Claude Code に構造化されたセキュリティリファレンスとスキャナーのガイダンスを提供し、より安全なレビューを支援します。
セキュリティ＆コンプライアンス 表示
📦
codebase-cleanup-deps-audit
78依存関係のセキュリティとライセンスリスクを監査
作成者 sickn33
依存関係のリスクは、脆弱性、ライセンス、更新、サプライチェーンのシグナルにまたがって優先順位付けするのが困難です。このスキルは、Claude、Codex、Claude Code が構造化された監査と修復計画を進めるための指針を提供します。
セキュリティ＆コンプライアンス 表示
📦
security
78プロジェクトのセキュリティを検証
作成者 ByronWilliamsCPA
セキュリティレビューでは、シークレット、脆弱な設定、依存関係のリスクを見落とすことがあります。このスキルは、Claude、Codex、Claude Code が構造化されたチェックと修復計画を進めるためのガイドです。
セキュリティ＆コンプライアンス 表示
📦
vulnerability-scanner
75OWASP ガイダンスに基づく脆弱性リスクのレビュー
作成者 sickn33
セキュリティレビューでは、攻撃経路やビジネスリスクなしに検出事項だけが列挙されると、文脈が見落とされがちです。このスキルは、OWASP ガイダンス、ローカルチェック、優先順位付けプロンプトを組み合わせ、実行可能なセキュリティ作業を支援します。
セキュリティ＆コンプライアンス 表示