Cloudflare Security Audit Skill

项目简介

Cloudflare Security Audit Skill 是一个面向编码智能体的「技能包」，把通用 AI Agent 变成结构化的安全审计员。它源自 Cloudflare 自建漏洞挖掘体系的最初版本，后来演化为多阶段、集群化的系统，而本仓库保留了单仓库可复现的起点。

核心工作流

整个审计被拆成六个阶段：

1. 侦察：梳理架构、信任边界、输入面与既有证据，产出 architecture.md 与 coverage-ledger.json。
2. 覆盖驱动狩猎：按覆盖台账分配隔离的狩猎 Agent，记录检查项，并用「覆盖批评者」找缺口。
3. 候选验证：每个候选漏洞交给全新的验证 Agent，专门尝试证伪。
4. 结构化输出：把 confirmed、needs_validation、rejected 写入 findings.json，并按 report-schema.json 校验。
5. 独立记录核验：新 Agent 复核最终结论，重大替换再走一次独立验证。
6. 目标无关报告：从已核验记录派生 REPORT.md、FINDINGS-DETAIL.md 等文档。

设计原则

• 只确认已成立的边界失效：有源码依据但被阻断的线索保留为 needs_validation。
• 对抗式验证：检查漏洞的 Agent 绝不是发现它的那个。
• 严重性需要影响支撑：按可能性 × 影响评估，而非对照清单打勾。
• 纵深防御缺口不算漏洞：A 层已能拦截时，B 层缺失只是加固建议。
• 多次运行提升覆盖：实测单次运行约只能发现重复运行总量的一半。

使用方式

通过 Skills CLI 安装后，在目标代码库中启动编码 Agent 并直接下达指令：

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

security audit this codebase
find security vulnerabilities in ./src

注意事项

• 需要支持工具调用与并行子智能体的模型。
• 校验脚本为 Node.js 零依赖实现。
• 若要实际执行目标代码（构建、测试、模糊测试等），必须有 OS 级沙箱并禁用外网，否则流程会停留在待验证状态。