Getting it into your agent
One page per mod, every tool's command on it. A separate URL per tool would split the same page into five that compete with each other.
git clone --depth 1 https://github.com/s977043/river-reviewWrote this? Show the measurements
A badge with what this costs and how it scanned, read live from this page, so it follows the numbers instead of freezing them. Markdown for a README, HTML for a documentation site or a project page.
[](https://agentmods.dev/commands/s977043/river-review/verify-agent-report)<a href="https://agentmods.dev/commands/s977043/river-review/verify-agent-report"><img src="https://agentmods.dev/badge/commands/s977043/river-review/verify-agent-report/github.svg" alt="Measured on agentmods" height="20"></a>Or the 80×15 button, for a site that already has a row of RSS and ATOM ones. Only the verdict fits; the numbers stay here.
<a href="https://agentmods.dev/commands/s977043/river-review/verify-agent-report"><img src="https://agentmods.dev/badge/commands/s977043/river-review/verify-agent-report.svg" alt="Reviewed on agentmods" width="80" height="20"></a>What it costs to keep this loaded
Counted locally with the o200k_base tokenizer, which is exact for GPT models; Claude uses its own tokenizer and its counts differ. Treat this as one consistent yardstick across the catalogue rather than a bill. Prices are per million input tokens.
| Model | Per session | Once invoked |
|---|---|---|
| Fable 5.1 | $0.00034 | $0.02207 |
| Opus 5.5 | $0.00014 | $0.00883 |
| Sonnet 5.5 | $0.00007 | $0.00441 |
| Haiku 4.5 | $0.00003 | $0.00221 |
Grade A, and why
verify-agent-report scanned grade A with 0 findings against 26 rules in 11 categories — prompt injection, anti-refusal, data exfiltration, privilege escalation, supply chain, agent snooping, system-prompt leakage, SSRF and excessive agency — measured 12d ago.
A static scan of the body, not an audit. Every finding is printed with the line that produced it so you can judge whether it matters here. A mod is markdown that instructs an agent; that is exactly why what it instructs is worth reading.
Nothing flagged
None of the 26 patterns this scan looks for appear in this file: no shell pipes, no recursive deletes, no credential paths, no hidden text, no instruction-override or anti-refusal phrasing, no agent-config snooping. That is not a guarantee, it is the absence of the things that are checkable.
How it starts
The opening of the file, as written. The whole thing — 115 lines — stays where its author put it; the contents beside it link to each section on GitHub.
エージェント完了報告の検証: 「$ARGUMENTS」で報告された branch / PR / commit / ファイルが実在するか、親セッション側のコマンド実行で裏取りする。
このスキルは background 実装エージェントの完了報告を受け取った直後、その成果を merge・レビュー・次タスクの前提として採用する前に呼び出すことを想定している。報告の文面がどれほど具体的でも（PR 番号・テスト件数・コマンド出力ブロック付きでも）、報告品質は実行の証拠にならない。全項目を実コマンドで検証して判定まで行う。
前提
以下のシグナルがあれば /verify-agent-report を先に実行する:
- background 実装エージェントから「PR 作成済み」「commit 済み」「テスト green」の完了報告を受けた
- エージェント報告の branch / PR 番号を使って merge・rebase・レビューを始めようとしている
- 報告に「実コマンド出力」ブロックが含まれている（これも捏造され得る — 2026-07-02 セッションで 4 回観測）
read-only の調査・レビューエージェントの報告はこの failure mode を示していないため対象外。ただし成果物 (branch / PR / ファイル) を伴う報告は常に対象とする。
検証手順
報告から branch 名・PR 番号・commit SHA・主要ファイルを抽出し、以下を順に実行する。
Step 0. script で Step 1〜4 を一括実行する
scripts/verify-agent-report.sh [--worktree <path>] <branch> [PR|-] [SHA|-] [files...]
Step 1〜4 を実行し、項目ごとの PASS / FAIL 表と VERDICT を出す。exit 0 は PASS、exit 1 は FABRICATION_SUSPECTED、exit 64 は引数誤りを表す。PR の読み取り失敗は gh アカウントの切り替わりでも起こるため、FAIL が pr 行だけなら gh api user --jq .login を確認してから再実行する。script が使えない場合は以下の Step 1〜4 を手で実行する。Step 5 は script の対象外である。
WARN は FABRICATION_SUSPECTED に数えない。報告された SHA が branch / PR の先端ではないが、先端の祖先である場合に branch-head と pr 行が WARN tip advanced になる。bot の dist push などで先端が進んだ状態で、commit 行が PASS なら報告は実在する。SHA が branch に無い場合は従来どおり FAIL である。SHA は大文字でも受け付ける。git fetch が失敗すると commit 行が FAIL になり、祖先関係とファイルは未確認のまま残る。
Step 1. branch の実在確認
git ls-remote --exit-code --heads origin refs/heads/<branch>
重要: --exit-code を必ず付ける。素の git ls-remote は ref が存在しなくても空出力で exit 0 を返すため、&& 連鎖では不在を検出できない。exit 2 なら branch は存在しない → 即 FABRICATION_SUSPECTED。
Step 2. PR の実在と head SHA の一致確認 (PR 番号が報告されている場合)
gh pr view <N> --json url,state,headRefOid
- PR が 404 → 捏造疑い
headRefOidが報告された commit SHA と一致するか確認（先頭 7 桁の前方一致で可）urlのリポジトリが作業対象リポジトリと一致するか確認（別リポジトリの実在 PR 番号を流用する捏造パターンがある）
Step 3. commit SHA の branch 上の実在確認
git fetch origin <branch> && git log --oneline -5 FETCH_HEAD
報告された commit SHA が出力に含まれるか目視確認。含まれない場合は git log --oneline -20 FETCH_HEAD まで広げてから判定する。
What this file has done since we first saw it
Hashed on every crawl. A supply-chain change to an agent config is a question of when, not whether, so the history is kept rather than the latest state alone.
- 12d ago Changed · +10 lines a0994a6e14b1
- 1mo ago First seen · 105 lines · 34 tokens per session scan A 8e1a0d21b4af
verify-agent-report is a command published in the GitHub repository s977043/river-review (7 stars, last pushed today), licensed MIT. It adds 34 tokens to every session and 2,207 once invoked, about $0.0001 per session on Opus 5.5. A static security scan graded it A with 0 findings. No closer match exists in the catalogue, so it is treated as the original; first seen 2026-08-31.
Other commands, from other repositories
brief
Brief a PR, MR or the current branch with Punchcard — the reviewer's orientation before the review, never a review.
pr
Review a GitHub PR or GitLab MR with Punchcard and post the review into it.
release
Release manager for frontend and mobile. Writes App Store notes, user-facing changelog, flags stale docs and landing copy. Actions: notes | changelog | docs | sync.
pr
Prepare and open a pull request the senior way: gate, template, scrubbed, everything visible.
fix-pr-comments
Systematically resolve Pull Request review comments using gh CLI to fetch comments and apply requested changes.
logic-health
Sweep a whole codebase or directory for logic correctness — use before a release or to identify risk hotspots.