Firebase 公式リポジトリにあるレビュー用スキル（作者：Google LLC）：エージェントにペネトレーションテスターの視点で Firestore および Cloud Storage のセキュリティルールを確認させ、ルールを回避できる操作順序を積極的に探します。1〜5 のスコアで評価し、各問題の深刻度と修正提案を JSON で出力します。
skills.sh インストール数 142227（+576 / 24時間）
セキュリティ監査：未監査
- まだスキャンされていません
理由
- 6 項目の必須チェックリスト：まず正当なドキュメントを作成し、その後不正な状態へ更新する「更新による回避」；role、isAdmin、ownerId などの機密フィールドがユーザー入力データから取得されていないか；ルールがビジネスロジックを支えられるか（共同編集者が読み取れない場合も問題とみなす）；文字列や配列に長さ制限があるか；フィールド型のチェック；hasOnly() / diff() は変更可能なフィールドのみを限定し、誰が変更できるかは限定しない
- 評価基準を明確に記述：1 点は権限昇格、権限のエスカレーション、または検証の完全な回避；5 点は完全な検証、厳格な所有権確認、およびロールベースのアクセス制御；ハードコードされた管理者メールアドレスが 1 つある場合でも、email_verified を同時に検証し、かつ管理者を自分で追加できない場合は減点しない
- 固定の JSON 構造（score、summary、findings には check、severity、issue、recommendation を含む）を出力し、CI への統合や前後比較を容易にする
- 範囲を明確に記述：Firebase CLI によるログイン・デプロイ、Auth、Crashlytics、Remote Config、データベースクエリは対象外；リポジトリは Apache-2.0 ライセンス、同リポジトリには他に 12 個のスキルがランキング入りしている
- skills.sh で 24 時間に 576 回インストールされ、累計 142227 回（注目度のみを示す）
使い方
- インストールコマンドは監査合格後に表示されます；「Firestore ルールのレビュー / レッドチームテスト」や、監査チェックリストに基づく採点を依頼した際にトリガーされ、firestore.rules または storage.rules をエージェントに渡します
- アカウントや外部サービスは不要で、純粋なテキストリストであり、Firebase CLI を呼び出しません
リスク
- 本号は未監査のため、固定で C 級評価、インストールコマンドは表示されません；SKILL.md にはテキストリストと出力形式のみがあり、コマンド、スクリプト、ネットワークリクエストはありません；skills.sh 上の Gen Agent Trust Hub 監査結果は Pass です
- ルールを静的に読むだけで、Firebase シミュレーターを実行しません；検出された「回避」は、シミュレーターや単体テストで自分で再現する必要があります；チェックリストは 6 種類の一般的な問題のみをカバーしています
- プロンプトは「管理者誘導フローが限定的」という特定のアプリケーションシナリオを想定した評価基準で書かれているため、他のプロジェクトに適用すると偏る可能性があります；週次インストール数が 5103 から 3607 に減少しました