security-audit

Une compétence d'agent de codage qui transforme votre agent en auditeur de sécurité. Elle orchestre plusieurs agents parallèles à travers un pipeline en six phases -- reconnaissance, chasse, validation, rapport, sortie structurée et vérification indépendante -- pour trouver des vulnérabilités exploitables à impact réel.

C'est la compétence qui a servi de base au harnais de découverte de vulnérabilités de Cloudflare, décrit dans Build your own vulnerability harness. Le harnais est devenu un système multi-étapes à l'échelle de la flotte ; cette compétence est le point de départ mono-dépôt dont il est issu.

Ce qu'elle fait

La compétence exécute un audit structuré en six phases :

1. Recon -- des agents de recherche parallèles cartographient l'architecture de l'application, les frontières de confiance et les surfaces d'entrée. Produit architecture.md.
2. Chasse -- des agents généraux parallèles attaquent la base de code sous différents angles (injection, contrôle d'accès, logique métier, cryptographie, abus de fonctionnalités, attaques en chaîne et joker). Chaque agent peut engendrer des sous-agents pour creuser plus profond.
3. Validation -- des agents distincts tentent de réfuter chaque résultat. Une revue contradictoire élimine les faux positifs.
4. Rapport -- produit REPORT.md (lisible par un humain) et FINDINGS-DETAIL.md (traces détaillées pour les résultats MEDIUM+).
5. Sortie structurée -- écrit findings.json conforme à report-schema.json, validé par validate-findings.cjs.
6. Vérification indépendante -- de nouveaux agents vérifient chaque affirmation factuelle de la sortie structurée par rapport au code source réel.

Plusieurs exécutions sur le même dépôt sont cumulatives. Chaque exécution explore différents chemins de code ; la compétence lit les fichiers findings.json précédents pour ignorer les problèmes connus et cibler les lacunes.

Fichiers

Installation

Installez la compétence avec la CLI Skills :

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

Utilisez --global pour une installation au niveau de l'utilisateur :

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

Exécutez npx skills --help pour les options de sélection d'agent et non interactives.

Utilisation

Démarrez votre agent de codage dans la base de code à auditer (ou pointez-le vers celle-ci), puis demandez-lui de faire un audit de sécurité :

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

La compétence s'active automatiquement lorsque la demande correspond à son déclencheur (audit de sécurité, recherche de vulnérabilités, test d'intrusion du code, etc.). Elle demandera un répertoire de sortie si vous n'en spécifiez pas, avec pour valeur par défaut ~/security-audit-skill/<repo-name>/run-<N>.

Prérequis

• Un agent de codage doté d'un modèle prenant en charge l'utilisation d'outils et les sous-agents parallèles
• Node.js (pour la validation du schéma validate-findings.cjs à la phase 5)

Principes de conception

• Ne rapporter que ce que l'on peut exploiter. Chaque résultat nécessite un scénario d'attaque concret, pas « un attaquant pourrait théoriquement... ».
• Validation contradictoire. L'agent qui vérifie un résultat n'est jamais celui qui l'a trouvé.
• La gravité exige un impact. Probabilité x impact, pas un écart par rapport à une liste de contrôle.
• Les lacunes de défense en profondeur ne sont pas des vulnérabilités. Si la couche A empêche l'attaque, l'absence de la couche B est une note de durcissement.
• Plusieurs exécutions améliorent la couverture. Les tests montrent qu'une seule exécution trouve environ la moitié des vulnérabilités totales détectées sur plusieurs exécutions.

Contact

Questions, retours ou échanges sur les outils de sécurité pilotés par l'IA : [email protected]

Licence

MIT -- voir LICENSE.