security-audit

Uma skill de agente de codificação que transforma seu agente em um auditor de segurança. Ela orquestra múltiplos agentes paralelos através de um pipeline de seis fases — reconhecimento, caça, validação, relatório, saída estruturada e verificação independente — para encontrar vulnerabilidades exploráveis com impacto real.

Esta é a skill que deu origem ao harness de descoberta de vulnerabilidades da Cloudflare, descrito em Build your own vulnerability harness. O harness evoluiu para um sistema multiestágio e abrangente; esta skill é o ponto de partida de repositório único do qual ele se originou.

O que ela faz

A skill executa uma auditoria estruturada em seis fases:

1. Reconhecimento — agentes de pesquisa paralelos mapeiam a arquitetura da aplicação, limites de confiança e superfícies de entrada. Produz architecture.md.
2. Caça — agentes gerais paralelos atacam a base de código de diferentes ângulos (injeção, controle de acesso, lógica de negócios, criptografia, abuso de funcionalidades, ataques encadeados e um curinga). Cada agente pode gerar subagentes para investigar mais a fundo.
3. Validar — agentes separados tentam refutar cada descoberta. A revisão adversarial elimina falsos positivos.
4. Relatório — produz REPORT.md (legível por humanos) e FINDINGS-DETAIL.md (rastros detalhados para descobertas MÉDIAS+).
5. Saída estruturada — grava findings.json em conformidade com report-schema.json, validado por validate-findings.cjs.
6. Verificação independente — novos agentes verificam cada afirmação factual na saída estruturada em relação ao código-fonte real.

Múltiplas execuções contra o mesmo repositório são aditivas. Cada execução explora caminhos de código diferentes; a skill lê arquivos findings.json anteriores para pular problemas conhecidos e mirar lacunas.

Arquivos

Instalação

Instale a skill com a Skills CLI:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

Use --global para uma instalação no nível do usuário:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

Execute npx skills --help para opções de seleção de agente e modo não interativo.

Uso

Inicie seu agente de codificação no (ou apontado para) o repositório que deseja auditar e peça para ele fazer uma auditoria de segurança:

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

A skill ativa automaticamente quando a requisição corresponde ao seu gatilho (auditoria de segurança, encontrar vulnerabilidades, teste de pen no código, etc.). Ela perguntará por um diretório de saída se você não especificar um, padronizando para ~/security-audit-skill/<repo-name>/run-<N>.

Requisitos

• Um agente de codificação com um modelo que suporte uso de ferramentas e subagentes paralelos
• Node.js (para validação de schema do validate-findings.cjs na Fase 5)

Princípios de design

• Relate apenas o que você pode explorar. Cada descoberta precisa de um cenário de ataque concreto, não "um atacante poderia teoricamente..."
• Validação adversarial. O agente que verifica uma descoberta nunca é o agente que a encontrou.
• Gravidade requer impacto. Probabilidade x impacto, não desvio de uma lista de verificação.
• Lacunas de defesa em profundidade não são vulnerabilidades. Se a Camada A impede o ataque, a ausência da Camada B é uma nota de endurecimento.
• Múltiplas execuções melhoram a cobertura. Testes mostram que uma única execução encontra aproximadamente metade das vulnerabilidades totais em múltiplas execuções.

Contato

Dúvidas, comentários ou troca de ideias sobre ferramentas de segurança baseadas em IA: [email protected]

Licença

MIT -- veja LICENSE.