सुरक्षा-ऑडिट

एक कोडिंग-एजेंट स्किल जो आपके एजेंट को सुरक्षा ऑडिटर में बदल देती है। यह छह-चरणीय पाइपलाइन -- recon, hunting, validation, reporting, structured output, और independent verification -- के माध्यम से कई समानांतर एजेंटों को व्यवस्थित करती है, ताकि वास्तविक प्रभाव वाली शोषण-योग्य कमजोरियाँ खोजी जा सकें।

यह वही स्किल है जिसने Cloudflare के vulnerability discovery harness को जन्म दिया, जिसका वर्णन Build your own vulnerability harness में किया गया है। यह harness एक बहु-चरणीय, fleet-wide प्रणाली में विकसित हुआ; यह स्किल वह single-repo शुरुआती बिंदु है जिससे यह विकसित हुआ।

यह क्या करता है

यह स्किल छह चरणों में एक संरचित ऑडिट चलाती है:

1. Recon -- समानांतर शोध एजेंट एप्लिकेशन के आर्किटेक्चर, trust boundaries, और input surfaces का मानचित्रण करते हैं। architecture.md तैयार करते हैं।
2. Hunt -- समानांतर सामान्य एजेंट कोडबेस पर विभिन्न कोणों से हमला करते हैं (injection, access control, business logic, cryptography, feature abuse, chained attacks, और एक wildcard)। प्रत्येक एजेंट गहराई से जाँचने के लिए उप-एजेंट बना सकता है।
3. Validate -- अलग एजेंट प्रत्येक निष्कर्ष को गलत साबित करने का प्रयास करते हैं। प्रतिकूल समीक्षा झूठी सकारात्मकताओं को समाप्त करती है।
4. Report -- REPORT.md (मानव-पठनीय) और FINDINGS-DETAIL.md (MEDIUM+ निष्कर्षों के लिए विस्तृत ट्रेस) तैयार करता है।
5. Structured output -- findings.json लिखता है जो report-schema.json के अनुरूप होता है, जिसे validate-findings.cjs द्वारा मान्य किया जाता है।
6. Independent verification -- नए एजेंट structured output में हर तथ्यात्मक दावे को वास्तविक स्रोत कोड के विरुद्ध सत्यापित करते हैं।

एक ही repo के विरुद्ध कई रन additive होते हैं। प्रत्येक रन अलग-अलग कोड पथों की खोज करता है; स्किल पिछली findings.json फ़ाइलों को पढ़कर ज्ञात मुद्दों को छोड़ती है और अंतरालों को लक्षित करती है।

फ़ाइलें

स्थापना

स्किल को Skills CLI के साथ स्थापित करें:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

उपयोगकर्ता-स्तरीय स्थापना के लिए --global का उपयोग करें:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

एजेंट-चयन और गैर-संवादात्मक विकल्पों के लिए npx skills --help चलाएँ।

उपयोग

अपने कोडिंग एजेंट को उस कोडबेस में (या उसकी ओर इंगित करके) शुरू करें जिसका आप ऑडिट करना चाहते हैं, फिर उसे सुरक्षा ऑडिट करने के लिए कहें:

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

स्किल स्वचालित रूप से सक्रिय हो जाती है जब अनुरोध इसके ट्रिगर (security audit, find vulnerabilities, pen-test the code, आदि) से मेल खाता है। यदि आप आउटपुट निर्देशिका निर्दिष्ट नहीं करते हैं तो यह एक आउटपुट निर्देशिका माँगेगा, जो डिफ़ॉल्ट रूप से ~/security-audit-skill/<repo-name>/run-<N> होगी।

आवश्यकताएँ

• एक कोडिंग एजेंट जिसमें tool use और समानांतर उप-एजेंटों का समर्थन करने वाला मॉडल हो
• Node.js (चरण 5 में validate-findings.cjs schema सत्यापन के लिए)

डिज़ाइन सिद्धांत

• केवल वही रिपोर्ट करें जिसका आप शोषण कर सकते हैं। प्रत्येक निष्कर्ष के लिए एक ठोस हमले का परिदृश्य चाहिए, न कि "एक हमलावर सैद्धांतिक रूप से..."
• प्रतिकूल सत्यापन। किसी निष्कर्ष की जाँच करने वाला एजेंट कभी भी वह एजेंट नहीं होता जिसने उसे पाया।
• गंभीरता के लिए प्रभाव आवश्यक है। Likelihood x impact, न कि किसी चेकलिस्ट से विचलन।
• Defense-in-depth अंतराल कमजोरियाँ नहीं हैं। यदि परत A हमले को रोकती है, तो परत B की अनुपस्थिति एक hardening नोट है।
• कई रन कवरेज में सुधार करते हैं। परीक्षण से पता चलता है कि एक अकेला रन कई रनों में कुल कमजोरियों का लगभग आधा हिस्सा पाता है।

संपर्क

प्रश्न, प्रतिक्रिया, या AI-संचालित सुरक्षा टूलिंग पर नोट्स की तुलना: [email protected]

लाइसेंस

MIT -- देखें LICENSE।