コーディングエージェント向け脅威モデリングスキル：Claude Code や Codex にリポジトリを読み取り専用でチェックさせ、構造化されたプロセスに従ってコード、信頼境界、脅威、既存の防御策、および緩和策を整理します。結論には、証拠としてファイル名と行番号の添付が必須です。
スター数 310（+57 / 24時間）
理由
- 36 種類のアーキテクチャワークフロー（Web、API、モバイル、マイクロサービス、マルチテナントSaaS、RAG、エージェント型AI、IoT、ブロックチェーンなど）があり、それぞれにクイック版と6段階のディープ版が用意されています。29 個の手法プロンプト（STRIDE、PASTA、LINDDUN、STPA、MITRE ATLAS、CVSSなど）が含まれています
- 実行マニュアルでは読み取り専用のチェックを要求し、ビルド、テスト、インストール、ネットワーク接続には明示的な承認が必要です。結果は threat-model/ ディレクトリに書き込まれ、レビュー範囲、レポート、JSONが含まれます。その後、change モードを使用してブランチの変更を既存のモデルと比較できます
- MCPサーバーやエージェントツールに対しては、ツールをバックエンドの認証情報と実際の権限にマッピングし、共有トークンの影響範囲、およびツール記述が変更された場合に他の信頼できるツールを誤解させる可能性があるかどうかを確認します
使い方
- git clone https://github.com/jmanico/grim-prompter.git ~/grim-prompter を実行し、skills/threat-model を ~/.claude/skills/（Codexの場合は ~/.agents/skills/）へシンボリックリンクで接続して、新しいセッションを開始します
- Claude Code では /threat-model、/threat-model quick api、/threat-model deep web、または /threat-model change main...feature を入力します（Codexでは $threat-model を使用）。他のエージェントでは、README内のスニペットを AGENTS.md に追加します
リスク
- 作者はプロンプトがドラフト段階であることを強調しており、脅威モデルはシステムの安全性を証明するものではなく、リスク評価と承認はユーザー自身が行う必要があります。レポートには機密情報が含まれる可能性があるため、レビューしてからバージョン管理システムに追加してください
- 作者の Jim Manico は、商用のセキュリティコーディングプロンプトも販売しています。ライセンスは MIT で、リポジトリは 10 月 28 日に作成されました