Security Audit Skill｜让编程智能体执行六阶段安全审计

用途说明

Security Audit Skill 是 Cloudflare 官方开源（据原文为 MIT 许可）的编码智能体技能，目标是让 Claude Code、Codex 等任意编程智能体以更严谨的方式执行安全审计。它不是简单的提示词集合，而是把审计拆成六个阶段并引入角色分工与结果校验。

审计流程（据原文整理）

1. 侦察测绘：先对目标代码库与攻击面做整体摸底；
2. 隔离子智能体分工：按覆盖账本把漏洞猎取任务分派给隔离子智能体，明确各自负责范围；
3. 对抗式验证：由专门的验证者复核发现，验证者不能是发现者本人；
4. 独立复核：对结论再做一次独立检查；
5. 中立报告：以中立口吻整理结论；
6. 最终产出机器可读的 findings.json。

覆盖的攻击面包括内存安全、提示词注入、供应链、云 IAM 等。

结果判定

findings.json 中的结论只有三种：confirmed（已确认）、needs_validation（需进一步验证）、rejected（已否决），并由零依赖校验器强制把关格式与取值。

适用人群与安装

适合安全工程师、代码审查者与需要例行安全检查的开发团队。据原文，可通过 Skills CLI 一条命令安装，是 Cloudflare 自家漏洞发现 harness 的单仓库起点。

费用与限制

工具本身免费，但需 Node.js 与操作系统级沙箱；具体安装命令、沙箱配置方式与支持的编程语言范围需核查官方文档。实际审计效果受目标项目与模型能力影响，本文未做实测，结论仅供参考。

来源与使用边界

原始入口：https://github.com/cloudflare/security-audit-skill

整理来源：https://github.com/ikaijua/Awesome-AITools

依据来源资料经AI翻译整理，未由本站实测。原始资料许可：CC-BY-4.0；目录许可不代表各产品或文件的使用授权。费用、账号、国内访问与版本兼容条件以原始发布者最新说明为准。