security-audit

Навык для кодинг-агента, превращающий вашего агента в аудитора безопасности. Он координирует несколько параллельных агентов через шестифазный конвейер — разведку, охоту, валидацию, отчетность, структурированный вывод и независимую верификацию — для поиска эксплуатируемых уязвимостей с реальным воздействием.

Этот навык стал основой для системы обнаружения уязвимостей Cloudflare, описанной в статье Создайте собственный харнес для уязвимостей. Харнес вырос в многоступенчатую систему, охватывающую весь парк; данный навык — это отправная точка для одного репозитория, из которой он развился.

Что делает

Навык запускает структурированный аудит в шесть фаз:

1. Разведка — параллельные агенты-исследователи составляют карту архитектуры приложения, границ доверия и поверхностей ввода. Создается architecture.md.
2. Охота — параллельные агенты общего назначения атакуют кодовую базу с разных сторон (инъекции, контроль доступа, бизнес-логика, криптография, злоупотребление функциями, цепочки атак и универсальный класс). Каждый агент может порождать подчиненных агентов для более глубокого изучения.
3. Валидация — отдельные агенты пытаются опровергнуть каждую находку. Состязательная проверка отсеивает ложные срабатывания.
4. Отчетность — создаются REPORT.md (читаемый человеком) и FINDINGS-DETAIL.md (подробные трассировки для находок уровня MEDIUM+).
5. Структурированный вывод — записывается findings.json, соответствующий report-schema.json и проверяемый validate-findings.cjs.
6. Независимая верификация — новые агенты проверяют каждое фактическое утверждение в структурированном выводе на соответствие исходному коду.

Многократные прогоны по одному репозиторию накапливаются. Каждый прогон исследует разные пути выполнения кода; навык читает предыдущие файлы findings.json, чтобы пропускать известные проблемы и нацеливаться на пробелы.

Файлы

Установка

Установите навык с помощью Skills CLI:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

Используйте --global для установки на уровне пользователя:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

Выполните npx skills --help, чтобы узнать параметры выбора агента и неинтерактивного режима.

Использование

Запустите вашего кодинг-агента в (или укажите на) кодовую базу, которую хотите проверить, а затем попросите его выполнить аудит безопасности:

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

Навык активируется автоматически, когда запрос соответствует его триггеру (security audit, find vulnerabilities, pen-test the code и т.д.). Он запросит выходной каталог, если вы его не укажете; по умолчанию используется ~/security-audit-skill/<имя-репозитория>/run-<N>.

Требования

• Кодинг-агент с моделью, поддерживающей использование инструментов и параллельных подчиненных агентов
• Node.js (для проверки схемы validate-findings.cjs в фазе 5)

Принципы дизайна

• Сообщайте только о том, что можно эксплуатировать. Каждая находка должна иметь конкретный сценарий атаки, а не «теоретически злоумышленник может...»
• Состязательная валидация. Агент, проверяющий находку, никогда не является агентом, который ее нашел.
• Серьезность требует воздействия. Вероятность × воздействие, а не отклонение от контрольного списка.
• Пробелы в эшелонированной защите — это не уязвимости. Если слой A предотвращает атаку, отсутствие слоя B — это заметка по усилению защиты.
• Многократные прогоны повышают охват. Тестирование показывает, что один прогон находит примерно половину всех уязвимостей, обнаруженных при нескольких прогонах.

Контакты

Вопросы, отзывы или обсуждение инструментов AI-безопасности: [email protected]

Лицензия

MIT — см. LICENSE.