security-audit

코딩 에이전트를 보안 감사자로 바꿔주는 스킬입니다. 정찰(recon), 헌팅(hunting), 검증(validation), 보고(reporting), 구조화된 출력(structured output), 독립 검증(independent verification)의 6단계 파이프라인을 통해 여러 병렬 에이전트를 조율하여 실제 영향을 미치는 악용 가능한 취약점을 찾아냅니다.

이 스킬은 Build your own vulnerability harness에 설명된 Cloudflare의 취약점 발견 하네스(harness)의 기반이 된 스킬입니다. 해당 하네스는 다단계의 플릿(fleet) 전반 시스템으로 성장했으며, 이 스킬은 그것이 진화해 온 단일 저장소 기반의 출발점입니다.

기능

이 스킬은 6단계로 구성된 구조화된 감사를 실행합니다:

1. 정찰(Recon) -- 병렬 연구 에이전트가 애플리케이션의 아키텍처, 신뢰 경계, 입력 표면을 매핑합니다. architecture.md를 생성합니다.
2. 헌팅(Hunt) -- 병렬 일반 에이전트가 다양한 각도(인젝션, 접근 제어, 비즈니스 로직, 암호화, 기능 남용, 연쇄 공격, 와일드카드)에서 코드베이스를 공격합니다. 각 에이전트는 더 깊이 파고들기 위해 하위 에이전트를 생성할 수 있습니다.
3. 검증(Validate) -- 별도의 에이전트가 각 발견 사항을 반증하려고 시도합니다. 적대적 검토(adversarial review)가 오탐(false positive)을 제거합니다.
4. 보고(Report) -- REPORT.md(사람이 읽을 수 있는 형식)와 FINDINGS-DETAIL.md(MEDIUM 이상 발견 사항에 대한 상세 추적)를 생성합니다.
5. 구조화된 출력 -- report-schema.json을 준수하는 findings.json을 작성하며, validate-findings.cjs로 검증합니다.
6. 독립 검증 -- 새로운 에이전트가 구조화된 출력의 모든 사실 주장을 실제 소스 코드와 대조하여 검증합니다.

동일한 저장소에 대한 여러 번의 실행은 누적됩니다. 각 실행은 서로 다른 코드 경로를 탐색하며, 스킬은 이전의 findings.json 파일을 읽어 이미 알려진 이슈를 건너뛰고 공백을 집중적으로 공략합니다.

파일

설치

Skills CLI로 스킬을 설치합니다:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

사용자 수준 설치에는 --global을 사용합니다:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

에이전트 선택 및 비대화형 옵션은 npx skills --help를 실행하세요.

사용법

감사하려는 코드베이스에서(또는 해당 코드베이스를 가리키도록) 코딩 에이전트를 시작한 다음 보안 감사를 요청하세요:

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

스킬은 요청이 트리거(보안 감사, 취약점 찾기, 코드 펜 테스트 등)와 일치하면 자동으로 활성화됩니다. 출력 디렉터리를 지정하지 않으면 기본값인 ~/security-audit-skill/<repo-name>/run-<N>을 사용할지 물어봅니다.

요구 사항

• 도구 사용과 병렬 하위 에이전트를 지원하는 모델을 갖춘 코딩 에이전트
• Node.js(5단계의 validate-findings.cjs 스키마 검증용)

설계 원칙

• 악용할 수 있는 것만 보고하세요. 모든 발견 사항에는 "공격자가 이론적으로..."가 아니라 구체적인 공격 시나리오가 필요합니다.
• 적대적 검증. 발견 사항을 검증하는 에이전트는 결코 그것을 발견한 에이전트가 아닙니다.
• 심각도에는 영향이 필요합니다. 체크리스트 이탈이 아니라 발생 가능성 x 영향입니다.
• 심층 방어(Defense-in-depth) 공백은 취약점이 아닙니다. 레이어 A가 공격을 막는다면 레이어 B의 부재는 강화(hardening) 노트일 뿐입니다.
• 여러 번 실행하면 커버리지가 향상됩니다. 테스트 결과 단일 실행은 여러 번 실행했을 때의 전체 취약점 중 약 절반을 찾아냅니다.

연락처

AI 기반 보안 도구에 관한 질문, 피드백, 또는 의견 교환: [email protected]

라이선스

MIT -- LICENSE 참조.