🧠️ Cloudflare выложили в опенсорс навык для аудита безопасности кода security-audit-skill — это готовый навык, который превращает вашего кодинг-агента в полноценного аудитора безопасности. Именно он лёг в основу внутреннего инструмента Cloudflare для поиска уязвимостей.
Как работает — 6 этапов:
1. Разведка — агент составляет карту архитектуры, границ доверия и точек ввода 2. Охота по покрытию — изолированные «охотники» проверяют каждую единицу реестра покрытия, а критики ищут пробелы 3. Проверка кандидатов — каждая находка уходит свежему проверяющему, который пытается её опровергнуть 4. Структурированный вывод — результаты пишутся в findings.json и валидируются по JSON-схеме 5. Независимая проверка записей — финальные утверждения проверяют новые агенты 6. Отчётность — отчёт генерируется из проверенных записей
Главные особенности:
• Состязательная проверка — тот, кто проверяет находку, никогда не тот, кто её нашёл • Три вердикта: confirmed (полная трассировка до исходников), needs_validation (точный неразрешённый факт, без оценки серьёзности), rejected (опровергнуто) • Повторные запуски дополняют друг друга — навык использует прошлые реестры и находки, чтобы бить по пробелам, а не начинать с нуля • Много классов атак из коробки: безопасность памяти, инъекции в LLM, веб-протоколы и аутентификация, цепочка поставок, облако и IAM, RPC, клиентская часть и т.д.
Важно: по данным Cloudflare, одиночный прогон находит примерно половину уязвимостей от суммарного результата нескольких запусков. Так что прогоняйте несколько раз.
Установка:
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Требования: агент с поддержкой инструментов и параллельных субагентов, Node.js для валидаторов, и изолированная среда (sandbox) на уровне ОС для запуска кода цели (без неё находки остаются в статусе needs_validation).
