security-audit

مهارة لوكلاء البرمجة تحوّل وكيلك إلى مدقّق أمني. تنسّق عدة وكلاء متوازيين عبر خط أنابيب من ست مراحل -- الاستطلاع، الصيد، التحقق، إعداد التقارير، المخرجات المنظمة، والتحقق المستقل -- للعثور على ثغرات قابلة للاستغلال ذات تأثير حقيقي.

هذه هي المهارة التي أرست الأساس لمنظومة اكتشاف الثغرات في Cloudflare، والموصوفة في ابنِ منظومة اكتشاف الثغرات الخاصة بك. نمت المنظومة لتصبح نظامًا متعدد المراحل يعمل على مستوى الأسطول؛ وهذه المهارة هي نقطة البداية أحادية المستودع التي تطوّرت منها.

ما الذي تفعله

تشغّل المهارة تدقيقًا منظمًا عبر ست مراحل:

1. الاستطلاع -- يعمل وكلاء بحث متوازون على رسم خريطة لهندسة التطبيق وحدود الثقة وأسطح الإدخال. تُنتج architecture.md.
2. الصيد -- يهاجم وكلاء عامون متوازون قاعدة الشيفرة من زوايا مختلفة (الحقن، التحكم في الوصول، منطق الأعمال، التشفير، إساءة استخدام الميزات، الهجمات المتسلسلة، وفئة حرة). يمكن لكل وكيل استحداث وكلاء فرعيين للتعمق أكثر.
3. التحقق -- يحاول وكلاء منفصلون دحض كل نتيجة. المراجعة الخصومية تقضي على الإيجابيات الكاذبة.
4. إعداد التقارير -- تُنتج REPORT.md (قابلة للقراءة البشرية) وFINDINGS-DETAIL.md (تتبعات تفصيلية للنتائج بمستوى MEDIUM فأعلى).
5. المخرجات المنظمة -- تُكتب findings.json بما يتوافق مع report-schema.json، ويُتحقق منها عبر validate-findings.cjs.
6. التحقق المستقل -- يتحقق وكلاء جدد من كل ادعاء واقعي في المخرجات المنظمة مقابل الشيفرة المصدرية الفعلية.

عمليات التشغيل المتعددة على المستودع نفسه تراكمية. كل تشغيل يستكشف مسارات شيفرة مختلفة؛ وتقرأ المهارة ملفات findings.json السابقة لتتخطى المشكلات المعروفة وتستهدف الفجوات.

الملفات

التثبيت

ثبّت المهارة باستخدام واجهة سطر الأوامر Skills:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

استخدم --global للتثبيت على مستوى المستخدم:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

شغّل npx skills --help للاطلاع على خيارات اختيار الوكيل والخيارات غير التفاعلية.

الاستخدام

ابدأ وكيل البرمجة لديك داخل قاعدة الشيفرة التي تريد تدقيقها (أو وجّهه إليها)، ثم اطلب منه إجراء تدقيق أمني:

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

تُفعَّل المهارة تلقائيًا عندما يطابق الطلب مشغّلها (تدقيق أمني، العثور على ثغرات، اختبار الشيفرة بالاختراق، وما إلى ذلك). ستطلب دليل إخراج إذا لم تحدّد واحدًا، وستستخدم ~/security-audit-skill/<repo-name>/run-<N> افتراضيًا.

المتطلبات

• وكيل برمجة بنموذج يدعم استخدام الأدوات والوكلاء الفرعيين المتوازيين
• Node.js (للتحقق من المخطط عبر validate-findings.cjs في المرحلة 5)

مبادئ التصميم

• أبلغ فقط عمّا يمكنك استغلاله. كل نتيجة تحتاج إلى سيناريو هجوم ملموس، وليس "قد يتمكن المهاجم نظريًا..."
• التحقق الخصومي. الوكيل الذي يفحص النتيجة ليس أبدًا الوكيل الذي اكتشفها.
• الخطورة تتطلب تأثيرًا. الاحتمالية × التأثير، وليس الانحراف عن قائمة مراجعة.
• الفجوات في الدفاع المتعمق ليست ثغرات. إذا كانت الطبقة A تمنع الهجوم، فإن غياب الطبقة B هو مجرد ملاحظة تحصين.
• عمليات التشغيل المتعددة تحسّن التغطية. تُظهر الاختبارات أن تشغيلًا واحدًا يعثر على نحو نصف إجمالي الثغرات عبر عمليات تشغيل متعددة.

التواصل

أسئلة، أو ملاحظات، أو تبادل خبرات حول أدوات الأمان المعتمدة على الذكاء الاصطناعي: [email protected]

الترخيص

MIT -- انظر LICENSE.