スキル dogfood

📦

dogfood

Name: dogfood
Author: vercel-labs

コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス

再現証拠付きでWebアプリをテスト

Webアプリの問題は、報告に証拠がないと修正が困難です。このスキルはブラウザでアプリを探索し、各発見事項について再現可能な証拠を作成します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "dogfood" from https://skillstore.io/skills/vercel-labs-dogfood.md and its manifest at https://skillstore.io/api/skills/vercel-labs-dogfood/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/vercel-labs-dogfood.md 署名済み manifest GET /api/skills/vercel-labs-dogfood/manifest 署名済み lockfile GET /api/skills/vercel-labs-dogfood/lockfile

テストする

「dogfood」を使用しています。オンボーディングに重点を置いて http://localhost:3000 をドッグフーディングしてください。

期待される結果:

Markdownレポートには、各オンボーディングの問題について、重大度、カテゴリ、影響を受けるURL、スクリーンショット、再現可能な手順が記載されます。

「dogfood」を使用しています。ログイン後にステージングの請求ページをテストしてください。

期待される結果:

レポートには、請求ワークフローの発見事項、コンソールエラー、注釈付きスクリーンショット、インタラクティブな失敗の動画が含まれます。

「dogfood」を使用しています。プレビューデプロイに対して幅広いQA確認を実行してください。

期待される結果:

最終サマリーでは、重大度別の問題総数を示し、リリース前に最も重要な修正を強調します。

セキュリティ監査

高リスク

v5 • 2026/7/9 バージョン別レポートを開く

Most static findings are Markdown backtick false positives in the taxonomy and instructional prose. Confirmed risks remain where the skill runs agent-browser and shell commands with user-supplied values, captures screenshots or videos, and stores authenticated browser state locally. No prompt injection text was found in the reviewed files.

スキャンされたファイル

385

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (3)

高

SKILL.md:195

Screen capture upload

- **For interactive issues, screenshot each step.** Capture the before, the action, and the after --

The line explicitly requires screenshots for each interaction step. No upload is shown, but intentional screen capture can expose authenticated app data in generated evidence.

高

SKILL.md:52-55 SKILL.md:61-67 SKILL.md:74-75

Unquoted User-Controlled Shell Arguments

The workflow accepts target URLs, session names, output paths, and credentials from the user, then shows shell commands with unquoted placeholders. A malicious value with shell metacharacters could be executed if copied into Bash.

The setup table defines user-controlled values, and the cited command blocks interpolate them directly into shell examples without quoting or validation.

高

SKILL.md:72-75

Authentication State Stored With Report Artifacts

After login, the skill saves browser state to auth-state.json inside the output directory. That file may contain session cookies or tokens and could be shared with the QA report by mistake.

The instructions explicitly save authenticated state for reuse after login, and the target path is inside the same output tree used for report evidence.

機能レビュー項目 (19)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

SKILL.md:61-68

Ruby/shell backtick execution

```bash

The login block passes email and password values as shell command arguments. User-provided credentials in unquoted command arguments can leak through process lists or be abused for injection.

高

SKILL.md:74-76

Ruby/shell backtick execution

```bash

The command saves authenticated browser state to auth-state.json under the output directory. That file can contain session cookies or tokens and needs explicit sensitive-artifact handling.

高

SKILL.md:126-128

Ruby/shell backtick execution

```bash

The command starts a repro video recording to a user-selected path. Recording authenticated workflows can capture sensitive data beyond the immediate bug evidence.

中

SKILL.md:25

Ruby/shell backtick execution

Always use `agent-browser` directly -- never `npx agent-browser`. The direct binary uses the fast Ru

The skill explicitly instructs use of the external agent-browser binary. That is expected for the skill, but it expands execution surface around user-provided targets.

中

SKILL.md:40-42

Ruby/shell backtick execution

```bash

The bash block creates directories using a user-selected output path. Unquoted path placeholders in shell examples create filesystem and command-invocation risk.

中

SKILL.md:46-48

Ruby/shell backtick execution

```bash

The bash block copies a template into a user-selected output directory. This is legitimate setup work, but it is still shell execution with unquoted path placeholders.

中

SKILL.md:52-55

Ruby/shell backtick execution

```bash

The command opens a user-provided target URL through an external browser automation tool. Unquoted TARGET_URL and SESSION placeholders create command-injection and unsafe-navigation risk.

中

SKILL.md:82-85

Ruby/shell backtick execution

```bash

The commands capture screenshots and browser snapshots from the target app. This is expected QA behavior, but it can collect sensitive authenticated page content.

中

SKILL.md:103-108

Ruby/shell backtick execution

```bash

The commands collect page snapshots, screenshots, errors, and console output. These artifacts can include private page data, tokens in logs, or internal URLs.

中

SKILL.md:132-140

Ruby/shell backtick execution

```bash

The block runs screenshot and sleep commands while reproducing issues. The screenshot commands write potentially sensitive UI states to the output directory.

中

SKILL.md:144-147

Ruby/shell backtick execution

```bash

The block captures the final broken state as an annotated screenshot. This is useful evidence, but it may include private application data.

中

SKILL.md:151-153

Ruby/shell backtick execution

```bash

The command invokes agent-browser to stop an active recording. It is part of a confirmed external recording workflow, although this specific command is lower impact.

中

SKILL.md:161-163

Ruby/shell backtick execution

```bash

The command captures a screenshot for static issues. Local capture is expected, but it can preserve sensitive page content in report artifacts.

中

SKILL.md:184-186

Ruby/shell backtick execution

```bash

The command invokes agent-browser to close the browser session. It is a real external command, though it has limited direct security impact.

中

SKILL.md:186-198

Ruby/shell backtick execution

```

This guidance names snapshot commands used to inspect clickable elements and page content. It confirms browser automation data collection, although the command is documented inline.

中

SKILL.md:198-199

Ruby/shell backtick execution

- `snapshot -i` — for finding clickable/fillable elements (buttons, inputs, links)

The line recommends snapshot -i for enumerating clickable and fillable page elements. This is useful QA automation, but it can expose details from authenticated pages.

中

SKILL.md:199-202

Ruby/shell backtick execution

- `snapshot` (no flag) — for reading page content (text, headings, data lists)

The line recommends snapshot for reading page content. The command can collect sensitive text from the target app, even though it is part of normal testing.

中

SKILL.md:208

Ruby/shell backtick execution

- **Be efficient with commands.** Batch multiple `agent-browser` commands in a single shell call whe

The guidance encourages batching agent-browser commands in a shell call and using scroll commands. Shell batching increases injection impact if any user-supplied placeholder is not safely quoted.

中

SKILL.md:19

Temp directory access

| **Output directory** | `./dogfood-output/` | `Output directory: /tmp/qa` |

The skill supports writing output to ./dogfood-output or /tmp/qa, and later stores screenshots, videos, reports, and auth state there. This is expected but creates sensitive-artifact storage risk.

リスク要因

⚙️ 外部コマンド (42)

🌐 ネットワークアクセス (2)

SKILL.md:204 SKILL.md:17

📁 ファイルシステムへのアクセス (1)

SKILL.md:19

検出されたパターン

Screen capture upload

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/vercel-labs-dogfood/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/vercel-labs-dogfood/security.svg)](https://skillstore.io/skills/vercel-labs-dogfood?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/vercel-labs-dogfood?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/vercel-labs-dogfood/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/vercel-labs-dogfood.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

vercel-labs. (2026). dogfood security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/vercel-labs-dogfood/audits/5

BibTeX形式の引用

@techreport{vercel-labs-vercel-labs-dogfood-2026,
  author = {vercel-labs},
  title = {dogfood security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/vercel-labs-dogfood/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dogfood security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "vercel-labs"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/vercel-labs-dogfood/audits/5"
identifiers:
  - type: other
    value: "skillstore:vercel-labs-dogfood:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

リリース前の探索的QA

リリース上重要なフロー全体を構造化して確認し、エンジニアがすばやく再現できる証拠を作成します。

回帰バグの発見

リリース候補でナビゲーション、フォーム、または状態を持つワークフローが変更された後、重要なページを確認します。

UX品質レビュー

ユーザー視点から、分かりにくいフロー、不足しているフィードバック、視覚的欠陥、アクセシビリティの問題を見つけます。

これらのプロンプトを試す

アプリのクイックチェック

http://localhost:3000 をドッグフーディングし、./dogfood-output にレポートを作成してください。

1つのワークフローに集中

オンボーディングに重点を置いて https://staging.example.com をドッグフーディングしてください。すべての問題について証拠を取得し、重大度ごとの件数を要約してください。

認証済みプロダクトレビュー

https://app.example.com をドッグフーディングしてください。私が提供するテストアカウントでサインインし、その後アカウント設定とチーム管理をテストしてください。

リリース準備状況の監査

https://preview.example.com をドッグフーディングしてください。請求、招待、プロジェクト作成を優先してください。インタラクティブな失敗については動画を記録し、明確な再現手順を使用してください。

ベストプラクティス

安全に変更できるテストアカウントとシードデータを使用します。
共有前に、スクリーンショットと動画に機密情報が含まれていないか確認します。
重要なワークフローに探索を集中できるよう、スコープを明確に保ちます。

回避

承認なしに、実際の顧客データを含む本番環境に対してこのスキルを実行すること。
生成されたレポートを自動回帰テストの代替として扱うこと。
シークレット、トークン、または非公開ユーザーデータを削除する前に出力ディレクトリを共有すること。

よくある質問

このスキルは何を作成しますか？

必要に応じて、問題の詳細、重大度ごとの件数、再現手順、スクリーンショット、動画を含むMarkdown形式のQAレポートを作成します。

対象アプリのソースコードを読みますか？

いいえ。このワークフローは表示されるブラウザ上の挙動をテストし、対象アプリケーションのソースコードを読むことを明示的に避けます。

認証が必要なアプリをテストできますか？

はい。ユーザーがテスト用の認証情報またはOTPコードを提供する必要があり、出力成果物は機密情報として扱う必要があります。

このスキルはどのツールで使用できますか？

必要なブラウザ自動化ツールが利用可能な場合、Claude、Codex、Claude Code でのサポートがレポートに記載されています。

どのような種類の問題を探しますか？

視覚、機能、UX、コンテンツ、パフォーマンス、コンソール、アクセシビリティの問題を探します。

出力は安全に共有できますか？

まず確認してください。スクリーンショット、動画、コンソールログ、認証状態には、非公開データやセッション情報が含まれる可能性があります。

開発者情報

作成者

vercel-labs

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/vercel-labs/agent-browser/tree/main/skills/dogfood/

参照

b959ebfd1043a07c0c4378ab94ca4342cb0259f5

メンテナンスの新しさ

2026/7/24

利用状況

13 ダウンロード · 160 閲覧

ファイル構成

📁 references/

📄 issue-taxonomy.md

📁 templates/

📄 dogfood-report-template.md

顧客ペルソナを通じて機能をレビューする

作成者 Dami-Randle

チームが社内の視点で機能をレビューすると、ユーザビリティ上の問題を見落とすことがあります。このスキルは、Aftrac と Sirius の顧客視点を用いたペルソナベースのテストをガイドします。

デザイン＆クリエイティブ表示

dogfood

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (3)

リスク要因

検出されたパターン

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

リリース前の探索的QA

回帰バグの発見

UX品質レビュー

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

vercel-labs のその他のスキル

vercel-react-view-transitions

skill-creator

vercel-react-best-practices

vercel-composition-patterns

vercel-react-native-skills

next-best-practices

関連スキル

fiftyone-pr-triage

github-issue-creator

qa-test-planner

alan-test-feature

distill

persona-testing