security-audit

Una habilidad de agente de codificación que convierte a tu agente en un auditor de seguridad. Orquesta múltiples agentes paralelos a través de un pipeline de seis fases: reconocimiento, caza, validación, informe, salida estructurada y verificación independiente, para encontrar vulnerabilidades explotables con impacto real.

Esta es la habilidad que originó el arnés de descubrimiento de vulnerabilidades de Cloudflare, descrito en Construye tu propio arnés de vulnerabilidades. El arnés se convirtió en un sistema de múltiples etapas y a escala de flota; esta habilidad es el punto de partida de un solo repositorio del cual evolucionó.

Lo que hace

La habilidad ejecuta una auditoría estructurada en seis fases:

1. Reconocimiento: agentes de investigación paralelos mapean la arquitectura de la aplicación, los límites de confianza y las superficies de entrada. Produce architecture.md.
2. Caza: agentes generales paralelos atacan la base de código desde diferentes ángulos (inyección, control de acceso, lógica de negocio, criptografía, abuso de funcionalidades, ataques encadenados y un comodín). Cada agente puede generar subagentes para profundizar.
3. Validación: agentes separados intentan refutar cada hallazgo. La revisión adversarial elimina falsos positivos.
4. Informe: produce REPORT.md (legible por humanos) y FINDINGS-DETAIL.md (trazas detalladas para hallazgos de nivel MEDIO+).
5. Salida estructurada: escribe findings.json conforme a report-schema.json, validado por validate-findings.cjs.
6. Verificación independiente: agentes nuevos verifican cada afirmación factual en la salida estructurada contra el código fuente real.

Varias ejecuciones contra el mismo repositorio son aditivas. Cada ejecución explora diferentes rutas de código; la habilidad lee los archivos findings.json anteriores para omitir problemas conocidos y apuntar a vacíos.

Archivos

Instalación

Instala la habilidad con la CLI de Skills:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

Usa --global para una instalación a nivel de usuario:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

Ejecuta npx skills --help para opciones de selección de agente y no interactivas.

Uso

Inicia tu agente de codificación en (o apuntando a) la base de código que deseas auditar, luego pídele que realice una auditoría de seguridad:

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

La habilidad se activa automáticamente cuando la solicitud coincide con su disparador (auditoría de seguridad, encontrar vulnerabilidades, hacer pentesting al código, etc.). Preguntará por un directorio de salida si no especificas uno, por defecto a ~/security-audit-skill/<repo-name>/run-<N>.

Requisitos

• Un agente de codificación con un modelo que soporte uso de herramientas y subagentes paralelos
• Node.js (para la validación del esquema validate-findings.cjs en la Fase 5)

Principios de diseño

• Solo informa lo que puedas explotar. Cada hallazgo necesita un escenario de ataque concreto, no "un atacante teóricamente podría..."
• Validación adversarial. El agente que verifica un hallazgo nunca es el agente que lo encontró.
• La gravedad requiere impacto. Probabilidad x impacto, no desviación de una lista de verificación.
• Las brechas de defensa en profundidad no son vulnerabilidades. Si la Capa A previene el ataque, la ausencia de la Capa B es una nota de endurecimiento.
• Varias ejecuciones mejoran la cobertura. Las pruebas muestran que una sola ejecución encuentra aproximadamente la mitad de las vulnerabilidades totales a lo largo de múltiples ejecuciones.

Contacto

Preguntas, comentarios o para intercambiar notas sobre herramientas de seguridad impulsadas por IA: [email protected]

Licencia

MIT -- ver LICENSE.