security-audit

Eine Coding-Agent-Fertigkeit (Skill), die Ihren Agenten in einen Sicherheitsauditor verwandelt. Sie orchestriert mehrere parallele Agenten durch eine sechsphasige Pipeline – Erkundung (Recon), Jagd (Hunting), Validierung, Berichterstattung, strukturierte Ausgabe und unabhängige Verifizierung – um ausnutzbare Schwachstellen mit echtem Einfluss zu finden.

Diese Fertigkeit ist der Keim von Cloudflares Vulnerability-Discovery-Harness, der in Build your own vulnerability harness beschrieben wird. Der Harness wuchs zu einem mehrstufigen, flottenweiten System; diese Fertigkeit ist der Ausgangspunkt für ein einzelnes Repository, aus dem er sich entwickelt hat.

Was sie tut

Die Fertigkeit führt eine strukturierte Prüfung in sechs Phasen durch:

1. Erkundung (Recon) – Parallele Forschungsagenten kartieren die Architektur der Anwendung, Vertrauensgrenzen und Eingabeoberflächen. Erzeugt architecture.md.
2. Jagd (Hunt) – Parallele allgemeine Agenten greifen die Codebasis aus verschiedenen Blickwinkeln an (Injection, Zugriffskontrolle, Geschäftslogik, Kryptografie, Feature-Missbrauch, verkettete Angriffe und ein Joker). Jeder Agent kann Unteragenten starten, um tiefer zu graben.
3. Validieren (Validate) – Separate Agenten versuchen, jeden Fund zu widerlegen. Adversarielle Überprüfung eliminiert False Positives.
4. Bericht (Report) – Erzeugt REPORT.md (für Menschen lesbar) und FINDINGS-DETAIL.md (detaillierte Spuren für Funde der Stufe MEDIUM+).
5. Strukturierte Ausgabe (Structured output) – Schreibt findings.json gemäß report-schema.json, validiert durch validate-findings.cjs.
6. Unabhängige Verifizierung (Independent verification) – Frische Agenten überprüfen jede faktische Behauptung in der strukturierten Ausgabe anhand des eigentlichen Quellcodes.

Mehrere Durchläufe im selben Repository sind additiv. Jeder Durchlauf erkundet andere Codepfade; die Fertigkeit liest vorherige findings.json-Dateien, um bekannte Probleme zu überspringen und Lücken gezielt anzugehen.

Dateien

Installation

Installieren Sie die Fertigkeit mit dem Skills CLI:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

Verwenden Sie --global für eine installation auf Benutzerebene:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

Führen Sie npx skills --help für Optionen zur Agentenauswahl und für nicht-interaktive Modi aus.

Verwendung

Starten Sie Ihren Coding-Agent in der (oder verweisen Sie ihn auf die) Codebasis, die Sie prüfen möchten, und bitten Sie ihn dann, ein Sicherheitsaudit durchzuführen:

Security-Audit dieser Codebasis

Finde Sicherheitslücken in ./src

Führe eine Sicherheitsüberprüfung durch und gib die Ausgabe nach ~/audits/my-project

Die Fertigkeit wird automatisch aktiviert, wenn die Anfrage mit ihrem Auslöser übereinstimmt (Sicherheitsaudit, Schwachstellen finden, Code pentesten usw.). Sie fragt nach einem Ausgabeverzeichnis, falls Sie keins angeben, und verwendet standardmäßig ~/security-audit-skill/<Repository-Name>/run-<N>.

Anforderungen

• Ein Coding-Agent mit einem Modell, das Werkzeugnutzung und parallele Unteragenten unterstützt
• Node.js (für die Schema-Validierung mit validate-findings.cjs in Phase 5)

Gestaltungsprinzipien

• Nur berichten, was Sie ausnutzen können. Jeder Fund braucht ein konkretes Angriffsszenario, nicht „ein Angreifer könnte theoretisch...“.
• Adversarielle Validierung. Der Agent, der einen Fund prüft, ist niemals der Agent, der ihn entdeckt hat.
• Schweregrad erfordert Auswirkung. Wahrscheinlichkeit x Auswirkung, nicht Abweichung von einer Checkliste.
• Defense-in-depth-Lücken sind keine Schwachstellen. Wenn Schicht A den Angriff verhindert, ist das Fehlen von Schicht B ein Härtungshinweis.
• Mehrere Durchläufe verbessern die Abdeckung. Tests zeigen, dass ein einzelner Durchlauf etwa die Hälfte der gesamten Schwachstellen aus mehreren Durchläufen findet.

Kontakt

Fragen, Feedback oder Austausch über KI-gesteuerte Sicherheitswerkzeuge: [email protected]

Lizenz

MIT – siehe LICENSE.