メニュー
ステージング環境にデプロイ済みのサーバーに対してランタイム検証を実行する。HTTPヘッダー・動的プローブ・認証テストに特化。手動呼び出し専用: /sec-runtime-scan [環境名]
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
SOC 職業分類に基づく
| name | sec-runtime-scan |
| description | ステージング環境にデプロイ済みのサーバーに対してランタイム検証を実行する。HTTPヘッダー・動的プローブ・認証テストに特化。手動呼び出し専用: /sec-runtime-scan [環境名] |
| license | MIT (see LICENSE.txt) |
| disable-model-invocation | true |
役割: ランタイム検証専門スキル（静的解析・依存関係スキャンは /sec-full-scan が担当）
デプロイ後のサーバーを実際に叩いて「コードを読んでも分からないこと」を検証する。 設定ファイルの反映漏れ・ヘッダーの実際の出力・動的な挙動の確認に特化する。
| 引数 | 必須 | 説明 |
|---|---|---|
環境名 | 任意 | 対象環境（例: staging）。省略時は設定ファイルの値を使用 |
security-agent.config.yml が存在することSTAGING_URL が設定されていること（未設定なら即時中断）security-agent.config.yml を読み込み、必須フィールドを確認するSTAGING_URL の存在確認 → 未設定なら即時中断target.base_url に本番 URL パターン（prod, production, app.）が含まれていないか確認 → 含まれていたら即時中断ignore, system, assistant, human）が含まれていないか;, &&, ||, バックティック, $(...)）が含まれていないかscope.include / scope.exclude に ../ が含まれていないかscope.include / scope.exclude を適用して診断対象エンドポイントを確定するopenapi.yml / openapi.json / swagger.json があれば読み込んで補完するcurl -I -s {base_url} でレスポンスヘッダーを取得し、以下を確認する：
| ヘッダー | 期待値 | 欠如時の深刻度 |
|---|---|---|
Strict-Transport-Security | max-age≥31536000 | High |
X-Content-Type-Options | nosniff | Medium |
X-Frame-Options | DENY または SAMEORIGIN | Medium |
Content-Security-Policy | 任意のポリシー | Medium |
Referrer-Policy | 設定済み | Low |
X-Powered-By | 存在しないこと | Low（情報漏洩） |
Server | バージョン番号を含まないこと | Low |
Critical を発見したら: 即座にレポートして処理を中断する。
agents リストに設定されたエージェントを順番に実行する。
各エージェントの出力は 8,000 文字以内にフィルタしてから処理する。中間結果は都度レポートに追記する。
owasp_top10（常に実行）:
alg:none 攻撃・セッション固定・トークン有効期限チェックauth_bypass（設定されている場合）:
alg: none / RS256→HS256）HttpOnly / Secure / SameSite 属性確認injection（設定されている場合）:
$where, $regex, $gt）;ls, &&id 等）prompt_injection（設定されている場合）:
multi_tenant（設定されている場合）:
file_exposure（設定されている場合）:
../../../etc/passwd）scan_date: <ISO8601>
target: <base_url>
scan_type: runtime
attack_surface:
endpoints_total: <総数>
endpoints_tested: <テスト済み数>
endpoints_skipped:
- path: <パス>
reason: <理由>
vuln_classes:
owasp_top10:
covered: <N>/10
gaps:
- <カバーできなかった項目と理由>
findings:
critical: <件数>
high: <件数>
medium: <件数>
low: <件数>
not_covered_by_this_scan:
- 依存関係の既知CVE → /sec-full-scan を使用
- ソースコードの静的解析 → /sec-full-scan を使用
- ビジネスロジックの欠陥 → ペネトレーションテスト（人手）が必要
- インフラ・クラウド設定 → インフラ担当者によるレビューが必要
coverage_score: <パーセンテージ>
ci_result: <pass/fail>
日付付きファイル名でレポートを保存する
./security-reports/YYYY-MM-DD-security-scan-report.md./security-reports/YYYY-MM-DD-security-scan-coverage.yml2026-05-01）report.output_path が明示指定されている場合はそちらを優先する深刻度別にソートし、修正推奨事項を含める
./security-reports/index.md に1行追記する
| YYYY-MM-DD | sec-runtime-scan | <base_url> | <Critical件数> | <High件数> | <Medium件数> | <CI結果> | [レポート](YYYY-MM-DD-security-scan-report.md) |
findings.critical > 0 または severity_gate 基準以上なら ❌ fail、それ以外は ✅ passfindings.critical > 0 または severity_gate 基準以上の発見がある場合、終了コード 1 を報告する
| 領域 | 推奨手段 |
|---|---|
| 依存関係の既知 CVE | /sec-full-scan |
| ソースコードの静的解析 | /sec-full-scan |
| PR 差分の脆弱性 | /sec-diff-review |
| ビジネスロジックの欠陥 | ペネトレーションテスト |
| インフラ・クラウド設定 | インフラ担当者レビュー |
./security-reports/YYYY-MM-DD-security-scan-report.md が生成されている./security-reports/YYYY-MM-DD-security-scan-coverage.yml が生成されている（scan_type: runtime 明記）severity_gate 基準に基づく CI 結果（pass / fail）が明示されている./security-reports/index.md に1行追記されているcc-sdd実装用統合ブランチのコミット群（ベースブランチとの差分）をreview slice単位のstacked PRに再構成する際に使用。「review sliceに分割」「stacked PRを作成」「PRをスタックして」「レビュー用にPRを分けて」「review slice stack」という依頼でトリガーする。dry-run（既定）でslice計画を提示し、apply指示で実際にブランチ・PRを作成する。
stacked PRの下位PRがマージされた後に上位branchをrestack（rebase/cherry-pick再構成）する際に使用。「restackして」「上位PRを更新して」「restack after merge」「PRのbaseを更新」「スタックを整理」という依頼でトリガーする。対象sliceの特定→rebase→変更ファイル確認と代表テスト実行→force-with-leaseでpush→PR base更新→auto-merge判定の順で進める。
リリース前の全ファイル静的解析スキル。プロジェクト構造を自動検出し、ソースモジュールごとのサブエージェントと依存関係スキャンを並列実行してコードベース全体の脆弱性を検出する。手動呼び出し専用: /sec-full-scan
PR・ブランチの変更差分（git diff）を静的解析してセキュリティ脆弱性を検出する。開発中・PRレビュー時に使用。手動呼び出し専用: /sec-diff-review
PRの未Resolveレビュー指摘に対応するスキル。「PRの指摘に対応して」「Resolveされていないスレッドを解消」「PR reviewの対応」「未解決のレビューコメントを修正」「Copilotの指摘を直して」「Codexの指摘に対応」「chatgpt-codex-connectorの指摘」「レビュー対応」で起動。PR URL or 番号 → 未Resolveスレッド取得 → 対象ファイル修正 → ユーザーへ最終ゲートとプッシュの実行手順を案内、の流れで進める。
タスク完了後にPCを休止状態にする。Use when: ユーザーが「休止」「hibernate」「タスク完了後に休止状態」「作業後にPCをスリープ/休止」と明示的に指示した場合のみ。正常終了時だけでなく、エラーや未解決事項が残っていても、明示指示があれば最後に休止へ移行する。Windows only.