Getting it into your agent
One page per mod, every tool's command on it. A separate URL per tool would split the same page into five that compete with each other.
npx skills add s977043/river-review --skill external-dependenciesgit clone --depth 1 https://github.com/s977043/river-reviewWrote this? Show the measurements
A badge with what this costs and how it scanned, read live from this page, so it follows the numbers instead of freezing them. Markdown for a README, HTML for a documentation site or a project page.
[](https://agentmods.dev/skills/s977043/river-review/external-dependencies)<a href="https://agentmods.dev/skills/s977043/river-review/external-dependencies"><img src="https://agentmods.dev/badge/skills/s977043/river-review/external-dependencies/github.svg" alt="Measured on agentmods" height="20"></a>Or the 80×15 button, for a site that already has a row of RSS and ATOM ones. Only the verdict fits; the numbers stay here.
<a href="https://agentmods.dev/skills/s977043/river-review/external-dependencies"><img src="https://agentmods.dev/badge/skills/s977043/river-review/external-dependencies.svg" alt="Reviewed on agentmods" width="80" height="20"></a>What it costs to keep this loaded
Counted locally with the o200k_base tokenizer, which is exact for GPT models; Claude uses its own tokenizer and its counts differ. Treat this as one consistent yardstick across the catalogue rather than a bill. Prices are per million input tokens.
| Model | Per session | Once invoked |
|---|---|---|
| Fable 5.1 | $0.00027 | $0.01221 |
| Opus 5.5 | $0.00011 | $0.00488 |
| Sonnet 5.5 | $0.00005 | $0.00244 |
| Haiku 4.5 | $0.00003 | $0.00122 |
Grade A, and why
External Dependencies & Vendor Risks scanned grade A with 0 findings against 26 rules in 11 categories — prompt injection, anti-refusal, data exfiltration, privilege escalation, supply chain, agent snooping, system-prompt leakage, SSRF and excessive agency — measured 1mo ago.
A static scan of the body, not an audit. Every finding is printed with the line that produced it so you can judge whether it matters here. A mod is markdown that instructs an agent; that is exactly why what it instructs is worth reading.
Nothing flagged
None of the 26 patterns this scan looks for appear in this file: no shell pipes, no recursive deletes, no credential paths, no hidden text, no instruction-override or anti-refusal phrasing, no agent-config snooping. That is not a guarantee, it is the absence of the things that are checkable.
What it actually says
Pattern declaration
Primary pattern: Reviewer Secondary patterns: Inversion Why: 外部依存の設計差分からSLA・クォータ・障害時の扱い・ロックイン対策の抜けをレビューし、障害シナリオを逆照射する。
Goal / 目的
- 外部依存（SaaS/API/決済/認証/地図など）の差分から、SLA/クォータ/障害時の扱い/ロックイン対策の抜けを潰す。
Non-goals / 扱わないこと
- ベンダー選定の是非の断定（要求と前提の明確化に限定）。
- 監視基盤や運用ツールの細部設計。
Pre-execution Gate / 実行前ゲート
このスキルは以下の条件がすべて満たされない限りNO_REVIEWを返す。
- 差分に設計・アーキテクチャ・依存関係・インテグレーションに関するドキュメントが含まれている
- 差分に外部サービス・SaaS・API・ベンダーに関する記述がある
- inputContextにdiffが含まれている
ゲート不成立時の出力: NO_REVIEW: external-dependencies — 外部依存に関する設計ドキュメントの差分がない
False-positive guards / 抑制条件
- 外部依存の仕様が別ドキュメントで管理され、参照が明確な場合は重複指摘しない。
Rule / ルール
- 先頭に要約を 1 行出す（追加/変更された外部依存と影響の要点）。
- 指摘は最大 8 件まで。クォータ超過、SLA不一致、障害時の未定義、データ移送/コストの見落としを優先。
- 可能なら “追記テンプレ” を付ける。
Checklist / 観点チェックリスト
- 依存一覧と責任境界
- 外部依存の一覧（名前/用途/環境/責任範囲）があるか。
- 代替手段（fallback）や無効化条件があるか（必要な場合）。
- SLA/クォータ/レート制限
- クォータ、レート制限、タイムアウト、リトライ前提があるか。
- ピーク時の “増幅”（リトライ×並列）で破綻しない前提があるか。
- 障害時
- 外部障害時の劣化モード（縮退/後回し/再試行/手動対応）があるか。
- 監査/請求など、失敗が許容されない処理の扱いが明記されているか。
- ロックイン/移行
- ベンダーロックイン要因（データ形式、SDK、機能依存）が整理されているか。
- 移行戦略（データエクスポート、二重書き込み、切替）や “やらない” 根拠があるか。
Output / 出力フォーマット
すべて日本語。<file>:<line>: <message> 形式で出力する。
- 先頭に要約を 1 行:
(summary):1: <外部依存と前提の要点> - 以降は指摘（最大 8 件）:
<message>に[severity=critical|major|minor|info]を含める。- 可能なら “追記テンプレ” を 1 行付ける。
追記テンプレ例:
外部依存: <name> / SLA: <>, quota: <>, timeout: <>, retry: <> / 障害時: <縮退方針>ロックイン: <要因> / 緩和: <抽象化/エクスポート> / 移行: <方針>
評価指標（Evaluation）
- 合格基準: 差分に紐づく外部依存の前提/リスクが指摘され、追記案がある。
- 不合格基準: ベンダー批判や根拠のない断定、指摘過多。
人間に返す条件（Human Handoff）
- 契約/SLA/法務判断が必要な場合は人間（TL/法務/セキュリティ）へ返す。
What ships with it
2 files beside SKILL.md in the same directory: the scripts, references and assets a skill reads on demand. Not counted in the per-session cost; read them before you install if any of them is executable.
What this file has done since we first saw it
Hashed on every crawl. A supply-chain change to an agent config is a question of when, not whether, so the history is kept rather than the latest state alone.
- 1mo ago First seen · 95 lines · 27 tokens per session scan A 91ce840cdf6f
External Dependencies & Vendor Risks is a skill published in the GitHub repository s977043/river-review (7 stars, last pushed today), licensed MIT. It adds 27 tokens to every session and 1,221 once invoked, about $0.0001 per session on Opus 5.5. A static security scan graded it A with 0 findings. No closer match exists in the catalogue, so it is treated as the original; first seen 2026-09-03.
Other skills, from other repositories
punchcard
Architecture-level design review of a code change: module boundaries, dependency direction, data model, error paths, cost of the next change — never naming, formatting, or anything a linter catches. Use when the user invokes /punchcard, says 'punchcard review', or asks for any design, architecture, or structural…
application-patterns
Architecture pattern selection, folder structures, coding conventions, error handling, testing strategies, and platform-specific patterns for structuring application code.
microservices-architect
Designs distributed system architectures, decomposes monoliths into bounded-context services, recommends communication patterns, and produces service boundary diagrams and resilience strategies. Use when designing distributed systems, decomposing monoliths, or implementing microservices patterns — including service…
deploy
Builds and deploys a Power Apps code app to Power Platform. Use when deploying changes, redeploying an existing app, or pushing updates.
cloudflare-r2
Cloudflare R2 S3-compatible object storage. Use for buckets, uploads, CORS, presigned URLs, or encountering R2ERROR, CORS failures, multipart issues.
ring:migrating-to-lib-systemplane
Migrating Lerian Go services from .env/YAML operational knobs (log levels, feature flags, rate limits, timeouts) to the lib-systemplane hot-reloadable runtime config client, wiring the migration-only make systemplane-ddl pipeline (runtime DDL forbidden in v1.6.0+). Orchestrates an 11-gate cycle dispatching…