security-audit Skill 技能

技能简介

security-audit 是 Cloudflare 官方开源的一款编码智能体技能（Coding Agent Skill），作用是把通用 AI 编码智能体改造成一名结构化的安全审计员。它会编排多个相互隔离的智能体，依次完成侦察建模、覆盖度驱动的漏洞搜寻、候选验证、结构化产出、独立复核与中性化报告六个阶段，最终输出机器可读、可独立验证的审计结论。这个技能正是 Cloudflare 内部漏洞发现流水线的起点，其演进版本已经在 Cloudflare 全公司范围内部署使用。

核心能力

六阶段结构化审计：把安全审计拆解为侦察、覆盖度搜寻、候选验证、结构化输出、独立复核、中性化报告六个明确阶段，每阶段都有可检查的产出物。

架构与信任边界建模：侦察阶段会绘制系统架构、信任边界、输入面、既有证据与确定性覆盖情况，并落盘为 architecture.md 与 coverage-ledger.json。

覆盖度台账驱动：以覆盖台账中的单元为单位分派隔离的搜寻智能体，记录每个单元的检查结果，并用覆盖度评审员找出遗漏区域。

对抗式候选验证：每一个独特候选漏洞都会交给一个全新的验证智能体，其任务是尽力证伪该候选，从机制上减少误报。

结构化可验证产出：确认、待验证、已驳回三类记录统一写入 findings.json，并对照 report-schema.json 做格式校验，便于接入自动化流程。

独立记录复核与报告派生：由全新智能体复核最终来源结论，发生实质性替换时再引入第二个独立验证者；最终由已核实记录派生出 REPORT.md、FINDINGS-DETAIL.md 与 NEEDS-VALIDATION.md 三份报告。

安装配置

本技能为单仓库形态，直接克隆仓库即可获得全部定义文件与提示词资产：

git clone https://github.com/cloudflare/security-audit-skill

将技能目录放入你所使用智能体的技能目录（例如 Claude Code 的 skills 目录），或在项目级配置中引用该路径。

确保运行环境具备文件读写权限，因为技能需要在工作目录内生成 architecture.md、coverage-ledger.json、findings.json 等中间产物。

若要让审计中的动态验证步骤可用，建议在隔离环境中执行，并准备好目标仓库的完整可构建环境。

使用步骤

第一步，在目标代码仓库根目录启动支持技能的编码智能体，并加载 security-audit 技能。

第二步，用一句话描述审计目标与范围，让智能体进入侦察阶段，生成架构文档与覆盖台账。

第三步，确认覆盖台账中的审计单元划分合理，必要时补充关注点（如认证、序列化、权限校验等）后启动搜寻阶段。

第四步，等待隔离搜寻智能体完成检查，进入候选验证阶段，由全新验证者逐条尝试证伪。

第五步，读取 findings.json 与派生的 REPORT.md，对「待验证」区间的条目安排人工复核。

第六步，把确认结论落成修复任务，并在修复后复用同一覆盖台账做回归审计。

适用场景

开源项目上线前安全自查：在发布前用结构化审计覆盖主要信任边界，提前发现高风险问题。

企业内部代码审计：为自研服务生成可追溯的审计报告，满足安全合规与内部评审要求。

漏洞赏金前置筛查：在提交外部报告前先自证结论，减少误报与重复沟通成本。

安全团队能力建设：把资深审计员的检查清单沉淀为可复用的智能体流程，降低团队上手门槛。

适用人群

安全工程师、应用安全（AppSec）团队成员、渗透测试人员，以及需要在 CI 流程中引入自动化安全审计的研发团队与开源维护者。

工作原理

技能并不依赖单个智能体的「一次性直觉判断」，而是把审计当成一个多角色协作流程。首先由侦察角色把目标系统拆解成可审计的覆盖单元并形成台账；随后每个覆盖单元分派给一个隔离上下文的搜寻智能体，避免不同区域的推理互相污染；每个候选漏洞再交给一个全新初始化的验证智能体进行对抗式证伪，只有无法被证伪的候选项才进入确认记录。所有中间结论以 JSON 记录落盘并做结构校验，最后引入独立复核者核对来源声明，再由这些已核实记录机械地派生出最终报告。这样的设计让审计结论具备可追溯性与可复现性，也让「漏报」和「误报」分别由覆盖度评审与独立验证两个环节来约束。

官方链接

https://github.com/cloudflare/security-audit-skill