security-audit

コーディングエージェント向けのスキルで、エージェントをセキュリティ監査人に変えます。6つのフェーズ（偵察、ハンティング、検証、報告、構造化出力、独立検証）からなるパイプラインを通じて複数の並列エージェントを調整し、実際に影響のある悪用可能な脆弱性を発見します。

このスキルは、Build your own vulnerability harness で説明されているCloudflareの脆弱性発見ハーネスの種となりました。このハーネスはマルチステージのフリート全体のシステムへと成長しました。このスキルは、そこから進化した単一リポジトリの出発点です。

機能

このスキルは6つのフェーズで構成された構造化監査を実行します。

1. 偵察 – 並列調査エージェントがアプリケーションのアーキテクチャ、信頼境界、入力面をマッピングします。architecture.md を生成します。
2. ハンティング – 並列汎用エージェントが異なる角度（インジェクション、アクセス制御、ビジネスロジック、暗号、機能悪用、連鎖攻撃、ワイルドカード）からコードベースを攻撃します。各エージェントはサブエージェントを生成してさらに深く掘り下げることができます。
3. 検証 – 別のエージェントが各発見を 反証 しようと試みます。敵対的レビューにより誤検出を排除します。
4. 報告 – REPORT.md（人間可読）と FINDINGS-DETAIL.md（MEDIUM+ 発見の詳細トレース）を生成します。
5. 構造化出力 – report-schema.json に準拠し、validate-findings.cjs で検証される findings.json を書き出します。
6. 独立検証 – 新しいエージェントが構造化出力内の事実主張を実際のソースコードに対して一つずつ検証します。

同一リポジトリに対する複数回の実行は累積されます。各実行は異なるコードパスを探索し、スキルは以前の findings.json ファイルを読み込んで既知の問題をスキップし、ギャップを狙います。

ファイル

インストール

Skills CLI を使用してスキルをインストールします。

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

ユーザーレベルのインストールには --global を使用します。

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

エージェント選択と非対話型オプションについては npx skills --help を実行してください。

使用方法

監査したいコードベース内（またはそのコードベースを指定して）コーディングエージェントを起動し、セキュリティ監査を依頼します。

このコードベースをセキュリティ監査してください

./src 内のセキュリティ脆弱性を見つけてください

セキュリティレビューを実施し、~/audits/my-project に出力してください

リクエストがトリガー（セキュリティ監査、脆弱性発見、コードのペンテストなど）に一致すると、スキルが自動的に有効になります。出力ディレクトリを指定しない場合は問い合わせがあり、デフォルトで ~/security-audit-skill/<リポジトリ名>/run-<N> になります。

必要条件

• ツール使用と並列サブエージェントをサポートするモデルを搭載したコーディングエージェント
• Node.js（フェーズ5での validate-findings.cjs スキーマ検証用）

設計原則

• 悪用可能なものだけを報告する。 すべての発見には具体的な攻撃シナリオが必要であり、「攻撃者が理論的に～」だけでは不十分です。
• 敵対的検証。 発見をチェックするエージェントは、その発見を行ったエージェントとは異なる必要があります。
• 重大度には影響が必要。 可能性×影響であり、チェックリストからの逸脱ではありません。
• 多層防御のギャップは脆弱性ではない。 レイヤーAが攻撃を防ぐなら、レイヤーBの欠如は強化メモにすぎません。
• 複数回の実行でカバレッジが向上する。 テストでは、単一回の実行で複数回実行の全脆弱性の約半分しか見つからないことが示されています。

連絡先

質問、フィードバック、AI駆動セキュリティツールに関する情報交換: [email protected]

ライセンス

MIT – LICENSE を参照してください。