Install
npx skills add google/mantis누구에게 맞나
Mantis는 코딩 어시스턴트와 함께 보안 쪽 일을 하려는 사람을 위한 것이다. 분리되어 있고, 순서대로 쓰며, 보안을 중심에 둔 스킬 모음으로 Coding Agents와 맞춘다. 주 경로는 스킬을 먼저 설치한 뒤 슬래시 명령을 하나씩 입력하는 것이지, 흐름 전체를 자동 승인에 넘기는 것이 아니다.
첫 단계가 당장 코드를 고치는 것이 아니라 계획이라면 저장소의 예는 /mantis-plan 이다. 안내는 이 명령들을 따로 입력하고 --yolo 나 --dangerously-skip-permissions 를 쓰지 말라고 한다. 각 단계에서 멈추고 출력을 본 뒤 계속 여부를 정하는 사람에게 맞다.
격리되지 않고 제한도 없는 환경에서 「자동 패치 도구」로 쓰기에는 맞지 않는다. 저장소는 이 모음이 자동 생성 코드를 만들고 실행하며, 그 코드가 불안정하거나 예상 밖 동작을 할 수 있다고 적는다. 출력을 확정된 보안 결론으로 쓰는 것도 맞지 않다. 모든 발견은 보안 전문가가 직접 대조한 뒤에만 밖으로 보고할 수 있다.
3분 만에 첫 시도 끝내기
공식 설치 명령은 이 한 줄이다: npx skills add google/mantis. 저장소 주소는 https://github.com/google/mantis 이 페이지만 따르고, 문서에 없는 설치기로 고쳐 쓰지 마라.
전제 조건: 쓸 수 있는 코딩 어시스턴트 환경이 있고, 이 기기에서 npx 를 실행할 수 있어야 한다. 설치 위치는 그 어시스턴트의 스킬 디렉터리(이 공식 명령이 쓴다). 설치 후 명령 목록에 mantis로 시작하는 슬래시 명령, 특히 /mantis-plan 이 보이는지 먼저 확인하라.
저위험 첫 작업: /mantis-plan 만 입력해 계획하고, 동시에 자동 승인을 켜지 마라. --yolo 나 --dangerously-skip-permissions 를 붙이지 마라. 실행 전에 현재 워크스페이스가 계획 논의를 받아도 되는지, 읽지 않은 생성 코드 실행을 아직 허용하지 않았는지 확인하라. 성공 신호는 어시스턴트가 Mantis 계획 단계에 따라 질문하거나 계획을 보여 주는 것이며, 바로 파일을 고치거나 설명 없는 실행을 시작하는 것이 아니다.
계획 결과는 계획일 뿐이다. 어시스턴트가 이어서 코드를 만들거나 실행하려 하면 먼저 멈추고 무엇을 바꿀지 보라. 저장소는 /mantis-plan 이후 각 명령 이름을 적지 않았으므로, 첫 시도는 「계획이 보이고 자동 실행되지 않음」에서 멈춰도 된다.
사용 사례
사례 1: 대화형 보안 계획. 설치 후 /mantis-plan 만 따로 입력하고 순서대로 진행하며 --yolo 나 --dangerously-skip-permissions 를 쓰지 않는다. 점검 범위를 먼저 정한 뒤 계속 여부를 결정할 때 맞다. 안내에 전체 명령 목록은 없고 /mantis-plan 예만 있다. 다른 슬래시 명령을 지어내지 마라. 명령이 안 보이면 https://github.com/google/mantis 로 돌아가 npx skills add google/mantis 가 성공했는지 대조하라.
사례 2: 자동 생성된 점검·패치 코드를 대조가 남은 초안으로 다룬다. 저장소는 이 모음이 자동 생성 코드를 만들고 실행하며 불안정하거나 예상 밖 동작을 할 수 있다고 적는다. 격리 환경을 이미 준비했고 결과를 볼 보안 전문가가 있는 팀에 맞다. 모든 발견은 전문가가 직접 대조한 뒤에만 보고한다. 격리 환경을 어떻게 꾸리는지, 보고 서식도 안내에 없다. 사람 대조가 끝나기 전에 출력을 밖으로 보내거나 공식 취약점 티켓으로 쓰지 마라.
사용 한계
설치 한계: 공식이 적은 것은 npx skills add google/mantis 뿐이다. 문서에 없는 설치 방법은 쓰지 마라. 조작 한계: 슬래시 명령은 하나씩 입력한다. --yolo 나 --dangerously-skip-permissions 를 가속 수단으로 쓰지 마라. 실행 한계: 모음은 불안정할 수 있는 코드를 만들고 실행하며 예상 밖 동작이 있을 수 있다. 결론 한계: 발견은 보안 전문가가 직접 대조한 뒤에만 보고한다. 자료 한계: Coding Agents용으로 분리되고 순차적인 보안 스킬이라고 적혀 있으며, 지원하는 구체 제품명은 없고 모든 언어나 하드웨어를 덮는다는 보장도 없다.