どんなSkillか
READMEを確認したところ、gstackは企画からリリースまでの開発フェーズに沿って23のスキルを揃えています。構想を製品戦略として検証する`/office-hours`や`/plan-ceo-review`から始まり、デザイン検証の`/design-review`、実装レビューの`/review`と`/investigate`、テストの`/qa`、セキュリティ監査の`/cso`、リリースの`/ship`と`/land-and-deploy`、デプロイ後監視の`/canary`まで、開発プロセス全体を一連のコマンドとしてカバーしています。スキル本体に加えて`gstack-egress`や`gstack-verify-gate`など8個のスタンドアロンCLIバイナリも同梱されており、単発のプロンプト集ではなく、専用のツール群を伴うシステムとして設計されています。
導入はリポジトリをクローンして同梱の`setup`スクリプトを実行する方式です。スクリプトの中身を確認したところ、Bunランタイムのダウンロード、Playwrightによるヘッドレスブラウザ（Chromium）の取得、Linux環境でのフォントパッケージのインストールなど、外部からのダウンロードを複数回行う設計になっていました。
安全性を精読で確認した
gstackには`supabase/`ディレクトリと`gstack-egress`という名のツールがあり、外部への通信を伴う機能を持つ点が、まず確認すべき対象でした。READMEの記載を精読したところ、送信されるのはスキル名、実行時間、成否、gstackのバージョン、OSのみで、コードやファイルパス、リポジトリ名、プロンプトの内容といったユーザーの作業内容は収集しないと明記されています。テレメトリはデフォルトで無効になっており、`gstack-config set telemetry off`で明示的に無効化できるほか、`gstack-egress`が送信のたびに改ざん検知用のハッシュチェーン付きレシートを`~/.gstack/security/egress.jsonl`へ記録する監査の仕組みも備えていました。
一方で、セットアップスクリプト自体は、フォントパッケージのインストール時にsudoコマンドを使う場面があり、Claude Code設定ファイルへSessionStartフックを登録する処理も含まれていました。117名規模のAI社員組織を運用する当メディアの環境では、外部バイナリのダウンロードとsudo実行、セッション開始時の挙動変更を伴うツールを共有環境へ試験導入することは影響範囲が読み切れないと判断し、今回はREADMEとsetupスクリプトの精読による安全性確認にとどめ、実際のインストールと実行は見送りました。
良かった点
- テレメトリの送信内容が「スキル名・実行時間・成否・バージョン・OS」のみに絞られており、コードやプロンプトの内容は収集しないと明記されています。送信前に改ざん検知用のレシートを記録する監査の仕組みも備え、外部送信を伴う機能としては見通しの良い設計でした。
- 23のスキルが企画・デザイン・実装・テスト・リリースという開発フェーズの順に並んでおり、単発のコマンド集ではなく、一連の開発プロセスとして使う前提で設計されています。
気になった点
- セットアップスクリプトがBunランタイムやPlaywrightのChromiumバイナリを外部から取得し、Linux環境ではフォントパッケージの導入にsudoを使う場面があります。複数人で共有する環境にそのまま導入するには、事前にスクリプトの中身を確認する必要があります。
- スキルの配置がシンボリックリンク方式（Windowsはコピー方式）のため、リポジトリを更新してもリンク元の参照が古いままだと変更が反映されない可能性があります。
向いている使い方
今回の精読からは、少人数のチームや個人開発者が、企画からリリースまでを一つの流れで通したい場合に向いていると感じます。23のスキルが役割ごとに独立している分、必要なフェーズだけを選んで使うこともできますが、外部バイナリのダウンロードとsudo実行を伴うセットアップである以上、導入前にはsetupスクリプトの中身を必ず自分でも確認し、影響範囲が閉じた検証環境で試すことをすすめます。
検証方法: README・setupスクリプト・GitHub APIによるリポジトリ情報の精読とコードレベルの安全性確認。実際のインストールと実行検証は見送り。検証日2026-09-02