Cloudflare Security Audit Skill：多阶段安全审计 AI 技能

技能简介

Security Audit Skill 是由 Cloudflare 开源的 AI 代码安全审计技能，专门为编程 Agent 设计。它将普通的 AI Agent 升级为专业级的安全审计员，通过六个结构化阶段引导 Agent 对代码仓库进行系统性安全排查。最初作为 Cloudflare 内部漏洞发现系统的基础，经过两年、数万名开发者、数百万代码缺陷的实际验证后开源，是目前最接近生产级使用的 AI 安全审计技能之一。

核心能力

六阶段结构化审计流程：从侦察（Reconnaissance）到覆盖导向狩猎（Coverage-led Hunting）、候选验证（Candidate Validation）、结构化输出（Structured Output）、独立记录验证（Independent Record Verification），最后生成目标无关报告（Target-neutral Reporting），形成完整闭环。

覆盖分类账机制：维护一份 coverage-ledger.json，持续追踪已覆盖的代码区域、未覆盖的盲区以及待验证项，使多轮审计结果可叠加复用，避免重复劳动与遗漏。

多维度攻击面覆盖：内置 13 个攻击类提示模块，涵盖内存安全与二进制漏洞、Web 与 LLM 安全（提示注入、Agent 安全）、客户端攻击（DOM 注入、UI 劫持）、供应链与发布安全、云与部署配置、RPC 与消息队列等几乎所有主流攻击向量。

独立验证机制：每个候选漏洞都交给独立的验证 Agent 重新审查，只有通过完整溯源确认的漏洞才进入最终报告，从机制上降低误报率。

机器可读的标准化输出：最终生成 findings.json（包含 confirmed / needs_validation / rejected 三种裁定结果）和结构化报告文件，可与 CI/CD 流水线无缝集成。

安装配置

前置要求：需要已安装 Vercel Skills CLI（npx skills）的 Agent 环境，如 Claude Code、Cursor、Windsurf 等主流编程 Agent。

安装命令（通过 Skills CLI）：npx skills add cloudflare/security-audit-skill

支持的 Agent：Claude Code（推荐）、Cursor、Codex、Windsurf、Cline 等所有兼容 Skills 协议的主流编程 Agent。

审计目标准备：审计前需在目标仓库根目录准备 architecture.md（架构说明）和 coverage-ledger.json（覆盖分类账），若不存在，技能会在第一阶段自动引导生成。

使用步骤

第一步：安装技能后，在目标代码仓库中运行 /security-audit（或对应的 Agent 命令），技能自动进入侦察阶段并生成架构文档。

第二步：覆盖导向狩猎阶段，技能根据分类账分配独立的子 Agent 对各攻击模块进行检测，并将结果记录到分类账中。

第三步：候选验证阶段，每个发现都经过独立验证 Agent 的严格审查，排除误报后进入结构化输出阶段。

第四步：技能生成 REPORT.md（执行摘要）、FINDINGS-DETAIL.md（详细发现）和 NEEDS-VALIDATION.md（待确认项），同时更新 findings.json。

适用场景

内部代码库定期安全审计：在 CI/CD 流水线中集成安全审计技能，对每次合并请求进行自动化安全检查。

开源项目安全评估：对引入第三方依赖或开源库的项目进行系统性漏洞扫描，识别潜在供应链风险。

安全研究员辅助工具：帮助安全研究员对陌生代码库进行系统性侦察，快速定位潜在攻击面。

代码上线前质量门禁：将安全审计作为发布前的强制质量关卡，确保关键漏洞在上线前被发现。

适用人群

主要面向安全工程师、DevSecOps 团队、AI Agent 开发者以及对代码安全有较高要求的开发团队。对于使用编程 Agent 进行日常开发的工程师而言，安装此技能后即可获得专业级的安全审计能力，无需额外学习复杂的审计工具链。

工作原理

该技能基于 Cloudflare 内部漏洞发现系统（Harness）演化而来，采用多 Agent 协作架构。父 Agent 负责任务编排与调度，各阶段由独立子 Agent 执行专项检测。验证环节使用独立的验证 Agent 对候选漏洞进行「攻击性验证」，即尝试推翻而非证实候选，从而有效降低误报率。覆盖分类账机制确保每次审计都建立在上一次的基础上，聚焦于新变更和未覆盖区域。

官方链接

Skills.sh 页面：https://www.skills.sh/cloudflare/security-audit-skill GitHub 仓库：https://github.com/cloudflare/security-audit-skill 安装命令：npx skills add cloudflare/security-audit-skill Cloudflare 官方博客：https://blog.cloudflare.com/build-your-own-vulnerability-harness