~AI時代のセキュリティ危機に備えて~AIエージェントの「セキュリティスキル」カオスマップ2026年10月版を公開。6,898本を13領域に整理し、押せば中身と安全面の評価がわかるWeb版も

日本語のスキル検索サイト「cccskills」が公開。PHPの脆弱性「php2shell」を受けたPHP・WordPress・Laravelの領域と、スキル自体を検査する領域を設けた

株式会社ウォーカー（本社：東京都文京区、代表取締役：伊東 雄歩）は、AIエージェント向けスキルの日本語検索サイト「cccskills」（https://cccskills.com）で、「AIエージェント セキュリティスキル カオスマップ 2026年10月版」を公開しました。掲載している公開スキル97,647本のうち、セキュリティに関わる6,898本（947リポジトリ、814作者）を、脆弱性診断や脅威モデリング、PHP・WordPress・Laravel など13の領域に整理しています。Web版では、タイルを押すとそのリポジトリのスキル一覧と、SKILL.mdの記述から判定した安全面の評価が表示されます。

カオスマップ（Web版）：https://cccskills.com/chaosmap/security

AIエージェント セキュリティスキル カオスマップ 2026年10月版（Web版: https://cccskills.com/chaosmap/security）

背景：スキルは「エージェントと同じ権限」で動く

Claude Code、Codex、OpenClaw などの AI エージェントは、SKILL.md という手順書を読み込むことで新しい作業をこなせるようになります。こうした「スキル」は GitHub で数多く公開され、cccskills が把握しているだけでも約9万7千本にのぼります。

スキルはエージェントと同じ権限で動くため、コマンドの実行やファイルの書き換え、外部との通信を手順どおりに行います。2026年1月には公開レジストリで悪意のあるスキルが大量に配られ、OWASP は12の公開者アカウントから1,184本が配布されたと記録しています（ClawHavoc）。

一方で、脆弱性診断や脅威モデリング、スキル自体の検査など、セキュリティの仕事をエージェントに任せるためのスキルも急速に増えています。どこに何があるのかを一望できるよう、カオスマップにまとめました。

カオスマップの概要

• 対象：cccskills に掲載している公開スキルのうち、名前・説明にセキュリティの語を含む6,898本（947リポジトリ、814作者）。2026年10月26日時点

• 領域：公式・セキュリティ企業／総合セキュリティスキル集／脆弱性診断・ペンテスト／コード監査・SAST／PHP・WordPress・Laravel／脅威モデリング／AIエージェント・スキル自体の安全／リバース・マルウェア解析／防御・インシデント対応／OSINT・脅威インテリジェンス／クラウド・サプライチェーン／CTF・学習／コンプライアンス・Web3 の13領域

• 掲載：OpenAI、Anthropic、Cloudflare、Vercel、NVIDIA、Microsoft、GitHub、Google、Trail of Bits、Cisco など、開発元やセキュリティ企業が自社の GitHub で公開しているスキルを「公式」として区別

PHPの脆弱性「php2shell」を受けて：PHP・WordPress・Laravel の領域

2026年10月21日、PHP に遠隔からコードを実行されうる脆弱性2件（CVE-2026-109618、CVE-2026-109619、通称 php2shell）が公表され、国内でも多くの事業者が修正版への更新に追われました。

PHP 本体の脆弱性は、修正版の PHP に更新して直すものです。一方で、WordPress や Laravel で作ったアプリ側のコードやプラグインに弱い所がないかを、この機会に点検したいという声もあります。マップでは、WordPress が公式に公開しているプラグイン開発・監査のスキルや、Laravel アプリのセキュリティ点検、PHP コードの危険な関数呼び出しを洗い出すスキルなどを「PHP・WordPress・Laravel」の領域にまとめました。cccskills には、PHP・WordPress・Laravel に関するセキュリティ系スキルが47本掲載されています。

注目の領域：「AIエージェント・スキル自体の安全」

今回のマップでは、スキルやエージェントの動作を入れる前に検査するスキルを独立した領域にしました。NVIDIA の SkillSpector、Cisco の skill-scanner、Trail of Bits の agentic-actions-auditor などが含まれます。スキルの普及とともに、スキルを検査する道具も増えています。

Web版の機能

• タイルを押すと、そのリポジトリのセキュリティ系スキルの一覧が開き、各スキルのページへ移動できます

• 各スキルには、SKILL.md の記述から判定した安全面の評価（A/B/C）を表示します

• 領域ごとの絞り込みと、リポジトリ名・スキル名での検索ができます

• データは毎日更新します

安全面の評価の集計

cccskills では、スターの多いスキルから順に、SKILL.md の記述だけを根拠に、外部への送信、コマンドの実行、ファイルの削除・上書き、認証情報の読み取りの有無と、その説明の有無を A/B/C で判定しています。

• セキュリティ系（評価済み485本）：A 48.0%、B 48.0%、C 3.9%

• 評価済みの全スキル（5,540本）：A 58.5%、B 38.8%、C 2.7%

A＝注意が要る操作がない、または範囲と確認手順が明示されている／B＝説明が足りない所がある／C＝削除・送信・認証情報を確認なしで扱う、または説明と処理が食い違う

セキュリティ系は攻撃ツールの実行や外部への送信を伴うものが多く、説明が足りない B の割合が全体より約9ポイント高くなりました。なお、この判定は SKILL.md の記述にもとづくもので、実際の動作やマルウェアの有無を検査したものではありません。

画像の利用について

カオスマップの画像は、出典として「cccskills」と Web 版へのリンクを添えれば、記事や社内資料などで自由に使えます。各社のロゴは GitHub アカウントのアバターを使用しており、商標は各社に帰属します。攻撃・診断系のスキルは、許可を得た対象にだけ使ってください。

cccskills について

cccskills は、GitHub で公開されている SKILL.md を集め、日本語で検索できるようにしたサイトです。英語・中国語・韓国語にも対応しています。評価済みのスキルには安全面と導入のしやすさの判定と根拠を表示し、公開 API と MCP サーバーからエージェント自身がスキルを検索することもできます。

サイト：https://cccskills.com
評価基準：https://cccskills.com/evaluation