Skill Scannerオープンソースのセキュリティスキャナーで AI エージェントスキルのパラメーターインジェクションや不正パターンを監査します。

4.7 (6)

レビュー: Daniel Nikulshyn·更新 2026年5月

Open Source Security Static Analysis AI Agents DevSecOps CI/CD Developer Tools

概要

スキルスキャナーは、セキュリティリスクを検出するオープンソースの静的分析ツールとして設計されています。Deployment前に、AIエージェントスキルの安全性を確認します。これを実現するために、スキルマニフェスト、指示、パッケージ化されたコードをスキャンして、プッシュの試み、隠れたデータエクスフィルテイションの試み、エージェントやそのユーザーの安全性を損なう可能性のある不審なコードパターンを探します。結果はSARIF形式で出力され、CIパイプライン、コードレビューのフロー、GitHub コードスキャンなどのセキュリティ監視ダッシュボードへの統合を容易にします。開発者とセキュリティチームは、3rdパーティのスキルの評価や自分のスキルを強化し、エージェントエコシステムにおいて基準チェックの厳守を可能にするために、Tool名を使用できます。プロジェクトはオープンソースなので、ルールと検出器は、組織固有の脅威モデルのための特定の要件に沿ったものに拡張またはカスタマイズできます。

主な機能

パラメーターインジェクションパターン検出
データ外漏れ他性識別
不正コードパターンスキャン
SARIF リポート出力
CI/CD パイプライン統合
拡張可能なルールセット

料金

モデル: Freemium
カテゴリー: スイトシビト更激の寺母カイトり会
評価: 4.7 / 5 (6)

ユースケース

サードパーティエージェントスキルを導入前にチェックする

外部のスキルとプラグインをパラメーターインジェクションパターンや不正コードにチェックして、エージェントに統合する前にリスクを低減する

CI/CD セキュリティゲートを運用する

スキルスキャナーをビルドパイプラインに統合するために SARIF 出力でパラメーターインジェクションマニフェストや命令書を含むリスクの高いスキルマニフェストや命令書を持つプルリクエストを自動で拒否する

GitHub コードスキャニングで検知結果を表す

SARIF リポートを GitHub コードスキャニングやセキュリティダッシュボードに流し、開発者やセキュリティチームがエージェントスキル不正の検出を他のコード問題と共にトリガするように促します。

内部に作成したスキルをカスタムルールでハード化する

拡張可能なルールセットを組織固有の脅威モデルに合わせて拡張して、データ外漏れや不正コードの検出が、内部に作成したエージェントスキルが標準的な要件を満たしていることを保証するため、エージェントスキル内部を作成することを保証します。

メリット & デメリット

メリット

完全無料でオープンソース
エージェント固有の脅威に特化したパラメーターインジェクション検出
SARIF 出力は既存のセキュリティツールと統合可能
CI/CD セキュリティゲート用に有効
検出ルールをカスタマイズできる

デメリット

テクニカルセッティングアップと CLI に熟識していることが必要
静的分析はすべての実行時攻撃を回避できない
カバー範囲はコミュニティによるルールの維持に依存する

バトル戦績

パンテオンで7バトルに出場。

1位

2位

3位

Last 5 battles

レビュー

4.7

6件の評価の平均。

レビューを投稿するにはログインしてください。

Fatima Zahra

Mar 22, 2026

Does the job

Pretty happy overall. Extensible rule set just works and sARIF output integrates with existing security tools. Static analysis cannot catch all runtime attacks can be annoying, but no dealbreakers — I'd recommend it to a friend without hesitating.

Carlos Mendoza

Mar 5, 2026

Use it every day

Honestly didn't expect to like it this much. SARIF report output is exactly what I needed, and free and open source. I do wish static analysis cannot catch all runtime attacks, but I reach for it almost every day now and it just clicks.

Mei-Ling Wong

Jan 26, 2026

Use it every day

Honestly didn't expect to like it this much. SARIF report output is exactly what I needed, and useful for CI/CD security gates. but I reach for it almost every day now and it just clicks.

Robert Ainsworth

Jan 16, 2026

Years in this space

I've evaluated a lot of these over the years. What stands out here is sARIF report output — handled better than most — and free and open source. Worth the time if this is your use case.

Yuki Mori

Aug 16, 2025

Use it every day

Honestly didn't expect to like it this much. SARIF report output is exactly what I needed, and targets agent-specific threats like prompt injection. I do wish coverage depends on community-maintained rules, but I reach for it almost every day now and it just clicks.

Kwame Mensah

Jul 13, 2025

Solid for our team

We rolled this out across the team last quarter and useful for CI/CD security gates. Data exfiltration heuristics fits neatly into how we already work, and sARIF report output removed a step we used to do by hand. Requires technical setup and CLI familiarity, which is the main caveat, but it has held up under daily use.

Q&A

Skill Scannerはどのような脅威を検出でき、制限は何ですか？

Skill Scannerは、スキルマニフェスト、指示、およびバンドルコードに対して静的解析を行い、プロンプトインジェクションパターン、データ外部化のヒューリスティック、疑わしいコードを検出します。静的ツールであるため、すべてのランタイム攻撃を検知できるわけではなく、検出品質はコミュニティが保守するルールセットやカスタムルールに依存します。

Asked by Jamal Carter · Aug 17, 2025

Skill ScannerはCI/CDおよび既存のセキュリティツールとどのように連携しますか？

検出結果をSARIF形式で出力します。SARIFはGitHubコードスキャン、セキュリティダッシュボード、コードレビューのワークフローで利用される標準フォーマットです。これにより、他の静的解析ツールと同様にCI/CDパイプラインへ簡単に組み込むことができます。

Asked by Nadia Petrova · Jul 15, 2025

Skill Scannerにはどのようなコストがあり、アクセスにどのようなライセンスモデルがありますか?

Skill Scannerは無料でオープンソースなので、ライセンスの支払いはありません。あなたはその代替は自分でセットアップ、メンテナンス、および自分でルールのカスタマイザする必要があります。

Asked by Rina Desai · Jun 7, 2025