security-audit

一个可将你的编码智能体转变为安全审计员的技能。它通过六阶段流水线编排多个并行智能体 -- 侦察、狩猎、验证、报告、结构化输出和独立验证 -- 以发现具有实际影响的可利用漏洞。

这项技能是 Cloudflare 漏洞发现框架的种子，相关介绍见 构建你自己的漏洞发现框架。该框架已成长为一个多阶段、覆盖整个系统群的体系；本技能则是它演化而来的单仓库起点。

功能

该技能分六个阶段运行结构化审计：

1. 侦察 -- 并行研究智能体绘制应用架构、信任边界和输入面。生成 architecture.md。
2. 狩猎 -- 并行通用智能体从不同角度攻击代码库（注入、访问控制、业务逻辑、密码学、功能滥用、链式攻击以及通配符）。每个智能体都可以派生子智能体以深入挖掘。
3. 验证 -- 独立智能体尝试推翻每项发现。对抗性审查可消除误报。
4. 报告 -- 生成 REPORT.md（人类可读）和 FINDINGS-DETAIL.md（MEDIUM+ 发现的详细追踪）。
5. 结构化输出 -- 写入符合 report-schema.json 的 findings.json，并由 validate-findings.cjs 验证。
6. 独立验证 -- 全新智能体对照实际源代码核实结构化输出中的每项事实性声明。

对同一仓库的多次运行是叠加式的。每次运行都会探索不同的代码路径；该技能会读取先前的 findings.json 文件，以跳过已知问题并针对漏洞空白。

文件

安装

使用 Skills CLI 安装该技能：

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

如需用户级安装，请使用 --global：

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

运行 npx skills --help 可查看智能体选择和非交互式选项。

使用方法

在你想要审计的代码库中启动你的编码智能体（或让其指向该代码库），然后要求它执行安全审计：

security audit this codebase

find security vulnerabilities in ./src

do a security review, output to ~/audits/my-project

当请求匹配其触发条件（安全审计、查找漏洞、对代码进行渗透测试等）时，该技能会自动激活。如果你未指定输出目录，它会询问你，默认使用 ~/security-audit-skill/<repo-name>/run-<N>。

要求

• 一个编码智能体，其模型支持工具调用和并行子智能体
• Node.js（用于阶段 5 中 validate-findings.cjs 的 schema 验证）

设计原则

• 只报告你能利用的漏洞。 每项发现都需要具体的攻击场景，而不是"攻击者理论上可能……"
• 对抗性验证。 核查发现的智能体绝不会是发现它的那个智能体。
• 严重性取决于影响。 可能性 × 影响，而非偏离检查清单的程度。
• 纵深防御缺口不是漏洞。 如果 A 层已能阻止攻击，那么 B 层的缺失只是一条加固备注。
• 多次运行可提高覆盖率。 测试表明，单次运行只能发现多次运行所发现漏洞总数的大约一半。

联系方式

如有疑问、反馈，或想交流 AI 驱动安全工具方面的经验：[email protected]

许可证

MIT -- 参见 LICENSE。