claude-cybersecurity (Claude Skill) — インストール & ライブデモ

なぜ使うのか

主な機能

異なる脅威サーフェスに対応する8つの並列専門エージェント
OWASP 2025、CWE Top 25、MITRE ATT&CK マッピング
PCI-DSSおよびその他のコンプライアンスフレームワークへの対応
ビジネスロジックの欠陥検出（静的ツールが見逃す領域）
AI生成コードパターンのフラグ付け（例：幻覚による認証実装）
11以上のプログラミング言語に対応、Claude Code以外の依存関係なし

ライブデモ

実際の動作

claude-cybersecurity-skill.replay ▶ 準備完了

0/0

インストール

作者のリポジトリ · Claude Skills の公式ドキュメント

ユースケース

実用的な使い方： claude-cybersecurity

新サービスのリリース前セキュリティレビュー

👤 本番環境へのリリース前のエンジニアリングチーム ⏱ ~60 min intermediate

使うタイミング： 新規または大幅に変更されたサービスのリリース前に実施します。

フロー

8エージェントによるフルパスを実行

Use claude-cybersecurity on services/payment. Full pass — vulns, authz, secrets, supply chain, IaC, business logic.✓ コピーしました

→ エージェントごとの検出結果、重大度、OWASP/CWEマッピングを含むレポート
トリアージと振り分け

Group by severity. For each critical/high, draft a GitHub issue with reproduction steps.✓ コピーしました

→ 貼り付け可能なIssueドラフト

結果： 証跡を伴う、説明責任を果たせるリリース前承認。

注意点

ビジネスロジックのフラグを自動的に誤検知として扱ってしまう — 静的ツールが見逃す検出項目なので、必ず二度確認してください

組み合わせ： github · repo-forensics-skill

LLMが犯しがちなミスに焦点を当てたAI生成コードのレビュー

👤 Copilot/Claude/CursorからのPRコードを多く受け入れているチーム ⏱ ~45 min intermediate

使うタイミング： AIアシスト付きでマージ済みまたは保留中のPRを監査する場合に使用します。

フロー

AI生成コードエージェントに焦点を当てる

Use claude-cybersecurity — ai-code patterns only. Flag: hallucinated middleware, plausible-but-wrong crypto, trust-all defaults.✓ コピーしました

→ パターン固有のフラグ
認可フラグをクロスチェック

Now run the authorization agent — AI tends to miss role checks on non-happy paths.✓ コピーしました

→ ギャップを示す認可マトリクス

結果： LLMが犯しがちなミスのクラスをリリース前に検出します。

組み合わせ： github

Infrastructure as Codeの危険なデフォルト設定をスイープ

👤 プラットフォームチーム ⏱ ~30 min intermediate

使うタイミング： Terraform / K8s / CloudFormation の変更をマージする前に実施します。

フロー

IaCエージェントを実行

Use claude-cybersecurity IaC agent on terraform/ — flag public S3, open security groups, privileged pods.✓ コピーしました

→ 重大度と修正diffを含む設定ミス

結果： クラスターに適用される前にIaCをクリーンにします。

依存関係のマルウェア／C2／バックドアパターンをスキャン

👤 サードパーティコードを監査するセキュリティエンジニア ⏱ ~30 min intermediate

使うタイミング： 新しい依存関係の導入時、または不審な依存関係の更新時に使用します。

フロー

脅威インテリジェンスエージェントを実行

Run claude-cybersecurity threat-intel on node_modules — known malicious patterns.✓ コピーしました

→ パターンマッチ結果（またはクリーン）

結果： 悪意のあるパッケージが混入する前の早期警告。

注意点

難読化された正規ライブラリ（例：ミニファイされたSDK）での誤検知 — 公開されているソースとクロスチェックし、自動削除しないでください

組み合わせ： repo-forensics-skill

組み合わせ

他のMCPと組み合わせて10倍の力を

claude-cybersecurity-skill + repo-forensics-skill

サプライチェーン＋インストール時の監査とアプリレベルのコードレビューを重ね合わせる

Run repo-forensics on the dep tree, then claude-cybersecurity on our app code.✓ コピーしました

claude-cybersecurity-skill + github

高重大度の検出結果ごとにIssueを自動作成

After the review, open a GitHub issue per high finding with CWE + remediation.✓ コピーしました

ツール

このMCPが提供する機能

ツール	入力	呼び出すタイミング
agent_vulns	code path	標準レビュー
agent_authz	code path	マルチロールアプリ
agent_secrets	code path	常時
agent_supply_chain	manifest files	依存関係の更新時
agent_iac	iac dir	インフラPR
agent_threat_intel	code/deps path	サードパーティ監査
agent_ai_code	code path	AIアシスト付きPR
agent_business_logic	code path, domain hints	高信頼ワークフロー（決済、認証）

コストと制限

運用コスト

APIクォータ: なし
呼び出しあたりのトークン: 高 — 8エージェントを並列実行
金額: 無料
ヒント: 可能な場合はリポジトリ全体ではなくPRのdiffにスコープを絞ってください

セキュリティ

権限、シークレット、影響範囲

最小スコープ： Read on the code under review

認証情報の保管： なし

データ送信先： LLM呼び出し以外のデータ送出なし — 検出結果はローカルに保持されます

絶対に付与しない： Write access to the audited repo during review

これは防御的ツールです。エージェントの出力を攻撃の証拠として扱わないでください — これらは検出結果であり、確認済みの脆弱性ではありません。
既存のSAST/SCAツールを補完するものであり、置き換えるものではありません。

トラブルシューティング

よくあるエラーと対処法

Too many findings to process — 処理する検出結果が多すぎる

まずseverity=high,criticalでフィルタリングし、残りは反復的に確認してください

Agent mislabels framework conventions as vulns — フレームワークの規約を脆弱性として誤検出する

フレームワークのコンテキストを提供してください：例「これはRailsで、strong_paramsを使用しています」

代替案

claude-cybersecurity 他との比較

代替案	代わりに使う場面	トレードオフ
repo-forensics	アプリコードレビューではなく、インストール時／サプライチェーンの検証が必要な場合	脅威モデルが異なる
GitHub Advanced Security (CodeQL)	PRワークフローに統合されたSASTが必要な場合	ビジネスロジックとAIパターンは検出できない

その他

リソース

📖 GitHub の公式 README を読む

🐙 オープンな issue を見る

🔍 400以上のMCPサーバーとSkillsを見る