Synthèse automatique
Ce skill guide une revue d'architecture sécurité structurée : délimiter le périmètre et les frontières de confiance, produire des diagrammes de flux de données, appliquer STRIDE composant par composant, construire des arbres d'attaque et hiérarchiser les menaces avec des mitigations.
Points forts
- Fournit une démarche ordonnée en huit étapes, de la définition du périmètre jusqu'à la documentation des risques résiduels
- Combine plusieurs méthodologies complémentaires (STRIDE, PASTA, arbres d'attaque) plutôt qu'une seule grille d'analyse
- Relie explicitement les menaces aux exigences de sécurité et au suivi des mitigations jusqu'à l'implémentation
- Inclut des garde-fous : rappelle de ne pas stocker de détails sensibles sans contrôle d'accès et de mettre à jour le modèle après chaque changement d'architecture
Limites
- Skill purement méthodologique : aucune analyse automatisée du code ou de l'infrastructure n'est effectuée
- La qualité du résultat dépend fortement de la précision du périmètre et des diagrammes fournis par l'utilisateur
- Ne remplace ni un audit formel, ni une certification de conformité, ni un scan automatisé
À utiliser lors de la conception d'un nouveau système ou d'une nouvelle fonctionnalité, ou avant un audit, pour identifier les vecteurs d'attaque et prioriser les investissements sécurité.
À éviter si le périmètre ou l'autorisation de revue manquent, ou si l'on cherche uniquement un scan automatisé ou une validation de conformité légale.
Analyse de sécurité
SûrThe skill contains only advisory threat-modeling guidance. It declares no tools, executes no commands, performs no network or filesystem actions, and asks for scope/authorization before security reviews. No destructive, exfiltrating, obfuscated, or safety-disabling behavior is present.
Aucun point d'attention détecté
Comment cette analyse est faiteExemples
Here is the architecture of a new payment microservice with an API gateway, a queue, and a Postgres database. Walk me through a threat model: define trust boundaries, draw the data flows, then apply STRIDE to each component and rank the top threats.Build an attack tree for account takeover on our login flow that uses email OTP plus password. Show the main branches, then propose mitigations for the highest-likelihood paths and map them to security requirements.Our team completed a STRIDE analysis of the file-upload feature and produced a list of threats. Convert these into concrete, testable security requirements and flag any residual risks we should document.name: threat-modeling-expert description: "Expert in threat modeling methodologies, security architecture review, and risk assessment. Masters STRIDE, PASTA, attack trees, and security requirement extraction. Use PROACTIVELY for security architecture reviews, threat identification, or building secure-by-design systems." risk: unknown source: community date_added: "2026-02-27"
Threat Modeling Expert
Expert in threat modeling methodologies, security architecture review, and risk assessment. Masters STRIDE, PASTA, attack trees, and security requirement extraction. Use PROACTIVELY for security architecture reviews, threat identification, or building secure-by-design systems.
Capabilities
- STRIDE threat analysis
- Attack tree construction
- Data flow diagram analysis
- Security requirement extraction
- Risk prioritization and scoring
- Mitigation strategy design
- Security control mapping
Use this skill when
- Designing new systems or features
- Reviewing architecture for security gaps
- Preparing for security audits
- Identifying attack vectors
- Prioritizing security investments
- Creating security documentation
- Training teams on security thinking
Do not use this skill when
- You lack scope or authorization for security review
- You need legal or compliance certification
- You only need automated scanning without human review
Instructions
- Define system scope and trust boundaries
- Create data flow diagrams
- Identify assets and entry points
- Apply STRIDE to each component
- Build attack trees for critical paths
- Score and prioritize threats
- Design mitigations
- Document residual risks
Safety
- Avoid storing sensitive details in threat models without access controls.
- Keep threat models updated after architecture changes.
Best Practices
- Involve developers in threat modeling sessions
- Focus on data flows, not just components
- Consider insider threats
- Update threat models with architecture changes
- Link threats to security requirements
- Track mitigations to implementation
- Review regularly, not just at design time
Limitations
- Use this skill only when the task clearly matches the scope described above.
- Do not treat the output as a substitute for environment-specific validation, testing, or expert review.
- Stop and ask for clarification if required inputs, permissions, safety boundaries, or success criteria are missing.
Du fichier au premier essai
Le téléchargement contient exactement le contenu affiché sur cette fiche. Cette copie peut différer de la dernière version du dépôt source.
Consulter la source et ses fichiers annexesCe téléchargement contient uniquement SKILL.md. Les scripts, références, modèles et dépendances éventuels ne sont pas inclus. Récupérez les fichiers nécessaires depuis la source en conservant leur arborescence avant de poursuivre.
1. Télécharger le fichier
Télécharger SKILL.mdDepuis la racine d’un projet de test, enregistrez le fichier sous .skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md, ou utilisez la commande suivante. Ce dossier sert à examiner la skill avant son installation.
Commande pour macOS/Linux ou WSL : un shell POSIX et curl sont nécessaires. Sous Windows sans WSL, utilisez le bouton de téléchargement et créez le dossier manuellement.
mkdir -p '.skill-downloads/threat-modeling-expert-mrwakcrg' && curl --fail --show-error --location 'https://skills-guides.com/api/skills/threat-modeling-expert-mrwakcrg/download' --output '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md.part' && mv '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md.part' '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md'2. Vérifier les prérequis
Lisez SKILL.md avant de l’utiliser. Si le fichier cite des scripts ou services externes, examinez-les et préparez les accès nécessaires dans votre environnement de test.
Aucune section de prérequis reconnue dans ce fichier. Cela ne signifie pas qu’il est autonome : les bibliothèques, outils et accès peuvent être cités ailleurs dans le contenu ou dans le dépôt source.
Les plateformes de la fiche sont des indications du catalogue. Les chemins ci-dessous suivent la documentation des outils ; ils ne prouvent pas que cette skill y a été exécutée. Aucune version minimale de ces outils n’est attestée pour cette fiche.
3. Charger la skill
Après vérification, copiez le dossier complet dans le projet avec l’une des commandes ci-dessous, puis ouvrez une nouvelle session de l’outil. La commande s’arrête si un dossier du même nom existe déjà : comparez les fichiers avant de le remplacer.
Claude Code
test -f '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md' && test -s '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md' && mkdir -p '.claude/skills' && test ! -e '.claude/skills/threat-modeling-expert' && cp -R '.skill-downloads/threat-modeling-expert-mrwakcrg' '.claude/skills/threat-modeling-expert'Cursor
test -f '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md' && test -s '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md' && mkdir -p '.cursor/skills' && test ! -e '.cursor/skills/threat-modeling-expert' && cp -R '.skill-downloads/threat-modeling-expert-mrwakcrg' '.cursor/skills/threat-modeling-expert'Codex
test -f '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md' && test -s '.skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md' && mkdir -p '.agents/skills' && test ! -e '.agents/skills/threat-modeling-expert' && cp -R '.skill-downloads/threat-modeling-expert-mrwakcrg' '.agents/skills/threat-modeling-expert'OpenSkills
OpenSkills doit déjà être installé. La procédure locale install/read est contrôlée avec OpenSkills 1.5.0, qui exige Node.js ≥ 20.6.0. Aucun slug du catalogue n’est résolu automatiquement.
Installation officielle d’OpenSkillsopenskills install './.skill-downloads/threat-modeling-expert-mrwakcrg'openskills read 'threat-modeling-expert-mrwakcrg'La lecture doit afficher le contenu du fichier installé et son dossier de base. Elle ne lance ni la skill ni ses dépendances.
Pour un agent qui lit AGENTS.md, synchronisez ensuite l’index. Cette commande modifie AGENTS.md : relisez le diff avant de l’utiliser.
openskills syncMode manuel ou autre outil : joignez SKILL.md à une conversation, ou ouvrez-le dans un agent capable de lire les fichiers. Ajoutez les ressources annexes nécessaires. Il n’existe pas de dossier universel reconnu par tous les outils.
4. Faire un premier essai
Utilisez une entrée courte et fictive : un endpoint d’API, un petit document ou un brief d’interface. Dans une nouvelle conversation, joignez le fichier ou donnez son chemin à l’agent, puis adaptez cette demande :
Lis .skill-downloads/threat-modeling-expert-mrwakcrg/SKILL.md et applique ses instructions à cet exemple : [décrire une entrée de test]. Indique les fichiers, dépendances ou accès qui manquent. Produis le résultat demandé par la skill sans inventer de données ni exécuter de script non examiné.Résultat attendu : une sortie correspondant aux instructions de la skill, ou une liste précise des prérequis manquants. Une simple confirmation de lecture ne valide pas le premier usage. Si une ressource externe est indisponible, ce parcours reste à tester.
Sécurité AMM DeFi
Securite
Checklist de sécurité pour les contrats Solidity AMM, pools de liquidité et flux de swap. Couvre réentrance, attaques par donation, manipulation d'oracles, etc.
Créateur de règles Semgrep
Securite
Crée des règles Semgrep personnalisées pour détecter des vulnérabilités de sécurité, des motifs de bugs et des motifs de code. Inclut une méthodologie de test en premier, le support du mode taint et des étapes de validation. Utile pour construire des détections d'analyse statique ciblées.
Revue barre d'outils développement
Securite
Règles de sécurité pour la barre d'outils de développement, le client PostHog et les feature flags. À utiliser lors de la revue de modifications des composants dev-tools et connexes.