Getting it into your agent
One page per mod, every tool's command on it. A separate URL per tool would split the same page into five that compete with each other.
npx skills add s977043/river-review --skill external-dependenciesgit clone --depth 1 https://github.com/s977043/river-reviewWrote this? Show the measurements
A badge with what this costs and how it scanned, read live from this page, so it follows the numbers instead of freezing them. Markdown for a README, HTML for a documentation site or a project page.
[](https://agentmods.dev/skills/s977043/river-review/external-dependencies)<a href="https://agentmods.dev/skills/s977043/river-review/external-dependencies"><img src="https://agentmods.dev/badge/skills/s977043/river-review/external-dependencies/github.svg" alt="Measured on agentmods" height="20"></a>Or the 80×15 button, for a site that already has a row of RSS and ATOM ones. Only the verdict fits; the numbers stay here.
<a href="https://agentmods.dev/skills/s977043/river-review/external-dependencies"><img src="https://agentmods.dev/badge/skills/s977043/river-review/external-dependencies.svg" alt="Reviewed on agentmods" width="80" height="20"></a>What it costs to keep this loaded
Counted locally with the o200k_base tokenizer, which is exact for GPT models; Claude uses its own tokenizer and its counts differ. Treat this as one consistent yardstick across the catalogue rather than a bill. Prices are per million input tokens.
| Model | Per session | Once invoked |
|---|---|---|
| Fable 5.1 | $0.00027 | $0.01221 |
| Opus 5 | $0.00014 | $0.00611 |
| Sonnet 5 | $0.00005 | $0.00244 |
| Haiku 4.5 | $0.00003 | $0.00122 |
Grade A, and why
External Dependencies & Vendor Risks scanned grade A with 0 findings against 26 rules in 11 categories — prompt injection, anti-refusal, data exfiltration, privilege escalation, supply chain, agent snooping, system-prompt leakage, SSRF and excessive agency — measured 5d ago.
A static scan of the body, not an audit. Every finding is printed with the line that produced it so you can judge whether it matters here. A mod is markdown that instructs an agent; that is exactly why what it instructs is worth reading.
Nothing flagged
None of the 26 patterns this scan looks for appear in this file: no shell pipes, no recursive deletes, no credential paths, no hidden text, no instruction-override or anti-refusal phrasing, no agent-config snooping. That is not a guarantee, it is the absence of the things that are checkable.
What it actually says
Pattern declaration
Primary pattern: Reviewer Secondary patterns: Inversion Why: 外部依存の設計差分からSLA・クォータ・障害時の扱い・ロックイン対策の抜けをレビューし、障害シナリオを逆照射する。
Goal / 目的
- 外部依存（SaaS/API/決済/認証/地図など）の差分から、SLA/クォータ/障害時の扱い/ロックイン対策の抜けを潰す。
Non-goals / 扱わないこと
- ベンダー選定の是非の断定（要求と前提の明確化に限定）。
- 監視基盤や運用ツールの細部設計。
Pre-execution Gate / 実行前ゲート
このスキルは以下の条件がすべて満たされない限りNO_REVIEWを返す。
- 差分に設計・アーキテクチャ・依存関係・インテグレーションに関するドキュメントが含まれている
- 差分に外部サービス・SaaS・API・ベンダーに関する記述がある
- inputContextにdiffが含まれている
ゲート不成立時の出力: NO_REVIEW: external-dependencies — 外部依存に関する設計ドキュメントの差分がない
False-positive guards / 抑制条件
- 外部依存の仕様が別ドキュメントで管理され、参照が明確な場合は重複指摘しない。
Rule / ルール
- 先頭に要約を 1 行出す（追加/変更された外部依存と影響の要点）。
- 指摘は最大 8 件まで。クォータ超過、SLA不一致、障害時の未定義、データ移送/コストの見落としを優先。
- 可能なら “追記テンプレ” を付ける。
Checklist / 観点チェックリスト
- 依存一覧と責任境界
- 外部依存の一覧（名前/用途/環境/責任範囲）があるか。
- 代替手段（fallback）や無効化条件があるか（必要な場合）。
- SLA/クォータ/レート制限
- クォータ、レート制限、タイムアウト、リトライ前提があるか。
- ピーク時の “増幅”（リトライ×並列）で破綻しない前提があるか。
- 障害時
- 外部障害時の劣化モード（縮退/後回し/再試行/手動対応）があるか。
- 監査/請求など、失敗が許容されない処理の扱いが明記されているか。
- ロックイン/移行
- ベンダーロックイン要因（データ形式、SDK、機能依存）が整理されているか。
- 移行戦略（データエクスポート、二重書き込み、切替）や “やらない” 根拠があるか。
Output / 出力フォーマット
すべて日本語。<file>:<line>: <message> 形式で出力する。
- 先頭に要約を 1 行:
(summary):1: <外部依存と前提の要点> - 以降は指摘（最大 8 件）:
<message>に[severity=critical|major|minor|info]を含める。- 可能なら “追記テンプレ” を 1 行付ける。
追記テンプレ例:
外部依存: <name> / SLA: <>, quota: <>, timeout: <>, retry: <> / 障害時: <縮退方針>ロックイン: <要因> / 緩和: <抽象化/エクスポート> / 移行: <方針>
評価指標（Evaluation）
- 合格基準: 差分に紐づく外部依存の前提/リスクが指摘され、追記案がある。
- 不合格基準: ベンダー批判や根拠のない断定、指摘過多。
人間に返す条件（Human Handoff）
- 契約/SLA/法務判断が必要な場合は人間（TL/法務/セキュリティ）へ返す。
What ships with it
2 files beside SKILL.md in the same directory: the scripts, references and assets a skill reads on demand. Not counted in the per-session cost; read them before you install if any of them is executable.
What this file has done since we first saw it
Hashed on every crawl. A supply-chain change to an agent config is a question of when, not whether, so the history is kept rather than the latest state alone.
- 5d ago First seen · 95 lines · 27 tokens per session scan A 91ce840cdf6f
External Dependencies & Vendor Risks is a skill published in the GitHub repository s977043/river-review (3 stars, last pushed yesterday), licensed MIT. It adds 27 tokens to every session and 1,221 once invoked, about $0.0001 per session on Opus 5. A static security scan graded it A with 0 findings. No closer match exists in the catalogue, so it is treated as the original; first seen 2026-09-03.
Other skills, from other repositories
punchcard
Architecture-level design review of a code change: module boundaries, dependency direction, data model, error paths, cost of the next change — never naming, formatting, or anything a linter catches. Use when the user invokes /punchcard, says 'punchcard review', or asks for any design, architecture, or structural…
application-patterns
Architecture pattern selection, folder structures, coding conventions, error handling, testing strategies, and platform-specific patterns for structuring application code.
deploy
Builds and deploys a Power Apps code app to Power Platform. Use when deploying changes, redeploying an existing app, or pushing updates.
cloudflare-r2
Cloudflare R2 S3-compatible object storage. Use for buckets, uploads, CORS, presigned URLs, or encountering R2ERROR, CORS failures, multipart issues.
terraform
Terraform and OpenTofu configuration, modules, testing, state management, and HCL review. Use for "terraform module", "terraform test", "infrastructure as code", "IaC", "HCL", "tfvars", "terraform plan", "terraform apply", "OpenTofu", "tftest", or multi-environment patterns.
nodejs-backend
Node.js backend patterns: framework selection, layered architecture, TypeScript, validation, error handling, security, production deployment. Use when building REST APIs, Express/Fastify servers, microservices, or server-side TypeScript.