インストール
npx skills add google/mantis向いている人
Mantis は、コーディングアシスタントと一緒にセキュリティ寄りの作業をしたい人向けだ。疎結合で、順番に使い、セキュリティ中心のスキル一式で、Coding Agents と組み合わせる前提になっている。主な入り方は、先にスキルを入れ、スラッシュコマンドを1つずつ入力することであり、流れ全体を自動承認に渡すことではない。
最初の一歩がすぐコードを直すのではなく計画なら、リポジトリの例は /mantis-plan だ。説明はこれらのコマンドを個別に入力し、--yolo や --dangerously-skip-permissions を使わないよう求めている。各段で止まって出力を見てから続ける人に向く。
隔離も制限もない環境で「自動で穴を直す道具」には向かない。リポジトリは、この一式が自動生成コードを作り実行すると書いており、そのコードは不安定でも、予期しない動作をしてもよい。出力を確定したセキュリティ結論にすることも向かない。発見はすべて、セキュリティ専門家が自ら照合したあとでなければ対外報告できない。
3分で最初の試行を終える
公式のインストールコマンドはこの1本：npx skills add google/mantis。リポジトリは https://github.com/google/mantis このページだけに従い、記載のないインストーラへ書き換えない。
前提条件：使えるコーディングアシスタント環境があり、このマシンで npx を実行できること。導入先はそのアシスタントのスキルディレクトリ（この公式コマンドが書き込む）。導入後、コマンド一覧に mantis で始まるスラッシュコマンド、とくに /mantis-plan が出ることを先に確認する。
低リスクな最初の作業：/mantis-plan だけを入力して計画し、同時に自動承認を開かない。--yolo や --dangerously-skip-permissions は付けない。起動前に、今のワークスペースが計画の議論を受けてよく、未読の生成コード実行をまだ許可していないことを確認する。成功の合図は、アシスタントが Mantis の計画手順に沿って質問を始めるか計画を示すことであり、いきなりファイルを直したり説明のない実行を始めたりしないこと。
計画結果は計画にすぎない。次にコード生成や実行をしたがったら、先に止まって何を変えるか見る。リポジトリは /mantis-plan のあとの各コマンド名を書いていないので、最初の試行は「計画が見え、自動実行していない」で止めてよい。
使用例
事例1：対話的なセキュリティ計画。導入後に /mantis-plan だけを入力し、順番に進め、--yolo も --dangerously-skip-permissions も使わない。先に点検範囲を決め、続けるかを決めるときに向く。説明に完全なコマンド一覧はなく、例は /mantis-plan だけ。他のスラッシュコマンドを自作しない。コマンドが出なければ https://github.com/google/mantis に戻り、npx skills add google/mantis が成功したか照合する。
事例2：自動生成の点検・修正コードを、照合待ちの下書きとして扱う。リポジトリは、この一式が自動生成コードを作り実行し、不安定だったり予期しない動作をしたりしうると書く。隔離環境を用意済みで、結果を見るセキュリティ専門家がいるチーム向け。発見はすべて専門家が自ら照合してから報告する。隔離環境の具体的な作り方も報告テンプレートも説明にない。人手の照合が終わる前に、出力を外部へ送ったり正式な脆弱性票にしたりしない。
利用の境界
インストールの境界：公式が書いているのは npx skills add google/mantis だけ。記載のない入れ方は使わない。操作の境界：スラッシュコマンドは1つずつ入力する。--yolo や --dangerously-skip-permissions を加速手段にしない。実行の境界：一式は不安定になりうるコードを生成して実行し、予期しない動作がありうる。結論の境界：発見はセキュリティ専門家が自ら照合してから報告する。材料の境界：Coding Agents 向けの疎結合・順序付きセキュリティスキルと書かれ、対応する具体的な製品名はなく、全言語や全ハードウェアを覆う保証もない。