Cloudflare Security Audit Skill

简介

这是 Cloudflare 安全团队开源的「security-audit」编码智能体技能，也是 Cloudflare 内部漏洞挖掘系统的起点：2026 年 6 月 18 日 Cloudflare 博客《Build your own vulnerability harness》介绍了这套方法，内部版本后来扩展成多阶段、覆盖全公司代码的系统，开源的是单仓库版本。它不是一个扫描器，而是一套写给编码智能体的流程说明和校验脚本：主智能体先摸清架构和攻击面，再派多个互相隔离的子智能体按覆盖账本逐块排查，每个疑似漏洞都交给一个全新的验证者去推翻，最后只把有完整源码证据的问题标为 confirmed。设计原则包括「找到问题的智能体不能自己验证」「没有影响就不定严重度」「纵深防御缺口不算漏洞」。仓库截至 2026-10-21 约 3.5 万 Star，10 月 21 日登上 GitHub Trending。适合想用 Claude Code 等智能体给自己的项目做一轮系统安全审查的开发者；运行费用取决于所用模型。官方来源：https://github.com/cloudflare/security-audit-skill 、https://blog.cloudflare.com/build-your-own-vulnerability-harness （2026-10-21 核对）。 定价：免费开源（MIT）；运行费用取决于所用编码智能体与模型。

• 安装npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit（加 --global 为用户级安装）
• 使用在目标代码库中启动编码智能体，直接说「security audit this codebase」「find security vulnerabilities in ./src」即可自动触发
• 六阶段流程侦察（architecture.md、coverage-ledger.json）→ 按覆盖账本分派隔离的「猎手」子智能体 → 新的验证者尝试推翻每个候选 → 写入 findings.json 并按 report-schema.json 校验 → 独立复核源码证据 → 生成 REPORT.md 等报告
• 三种结论confirmed（有完整源码链路）、needs_validation（写明尚未确认的具体事实，不给严重度）、rejected（已被推翻）
• 攻击类别库Web 协议与认证、客户端、供应链与发布、云与部署、RPC 与消息、内存安全与二进制、AI / LLM 提示注入、多租户数据隔离等
• 多次运行可叠加复用旧账本补漏；官方测试中单次运行约能找到多次运行总数的一半
• 要求支持工具调用和并行子智能体的编码智能体、Node.js（零依赖校验脚本），执行目标代码需操作系统级沙箱（断网、资源限制）

界面截图

可左右滑动，或使用方向键、Home 和 End 浏览截图。