security-audit-skill：Cloudflare 出品的 AI 编码代理六阶段安全审计技能

Skill超级捕获手 技术创作者 2026-09-29 1556 阅读

Cloudflare 推出的 security-audit-skill 将 AI 编码代理转变为多阶段安全审计器，通过侦察、漏洞猎捕、对抗性验证、独立核实等六阶段流水线，在代码库中自动挖掘可利用的漏洞并输出结构化报告。该 Skill 于 2026 年 6 月发布，9 月中旬单日斩获 +2,428 stars，成为当周 GitHub Trending 榜首，被视为 AI 安全工具赛道的重要突破。

功能与原则

security-audit-skill 是一套面向 AI 编码代理的安全审计技能包，而非独立程序。它将安全审计流程编排为六个阶段，由多个并行子 Agent 协作完成：

  • 阶段 1 侦察（Reconnaissance）：并行启动多个 research Agent，分别返回结构化的源码事实（带 file:line 引用），产出 architecture.md 和 coverage-ledger.json
  • 阶段 2 猎捕（Hunting）：并行 general agents 从注入、访问控制、业务逻辑、密码学、功能滥用、链式攻击等角度攻击代码库
  • 阶段 3 验证（Validation）：独立的 agents 尝试反驳每个发现，对抗性审查杀死误报
  • 阶段 4 报告（Report）：产出 REPORT.md（人类可读）和 FINDINGS-DETAIL.md（MEDIUM+ 详细追踪）
  • 阶段 5 结构化输出：写入 findings.json（符合 report-schema.json），由 validate-findings.cjs 校验
  • 阶段 6 独立核实（Independent Verification）：全新 agents 验证 structured output 中每个事实声明

设计原则：只报告可利用的漏洞（Severity = Likelihood × Impact，而非偏离清单）；发现漏洞的 agent 永远不是批准结论的 agent；多层防御的缺口不是漏洞（若 A 层已阻止攻击，B 层缺失只是加固建议）；多次运行可提升覆盖率（单次运行约发现全部漏洞的一半）。

认可度

  • GitHub Stars：13,825+（截至 2026-09-28）
  • Fork：740+
  • 创建时间：2026-06-18
  • 许可证：MIT
  • Trending 记录：2026 年 9 月中旬单日 +2,428 stars，登上 GitHub Trending 榜首
  • 社媒热度：CSDN、UWL.ME、头条等多个技术社区深度解读，被认为是 AI 安全工具赛道的里程碑

链接

GitHub：https://github.com/cloudflare/security-audit-skill

原作者

Cloudflare（组织）— 全球知名的云基础设施和安全公司，其安全 AI 研究团队（security-ai-research@cloudflare.com）主导开发。该项目源自 Cloudflare 内部漏洞发现实验，整理后开源。

介绍

传统代码安全审计依赖人工或规则扫描——前者成本高、速度慢，后者误报率高、难以发现业务逻辑漏洞。security-audit-skill 的核心思路是：让 AI 编码代理具备系统化安全审计能力，通过多 Agent 协作和对抗性验证，确保发现真实可利用的漏洞而非制造焦虑。

该 Skill 不生成”一份安全报告”的 prompt 模板，而是一套编排系统：用隔离的子 Agent 执行侦察、猎捕、验证，每一步产出都有结构化记录和独立校验器。特别的是，发现漏洞的 Agent 与批准结论的 Agent 来自不同运行，避免”同模型既当运动员又当裁判”导致的误报或漏报。

输出产物包括：人类可读的 REPORT.md、带详细追踪的 FINDINGS-DETAIL.md（MEDIUM+ 级别）、符合 JSON Schema 的 findings.json（机器可读，供团队自动化集成），以及 coverage-ledger.json（覆盖率账本）。

特点

  • 六阶段流水线：侦察 → 猎捕 → 对抗性验证 → 结构化发现 → 独立核实 → 报告，覆盖完整审计生命周期
  • 隔离 Agent 设计：发现与审批职责分离，避免同一模型自我背书
  • 对抗性验证机制：每个 finding 都要经过”尝试反驳”环节，杀死误报
  • 多运行叠加覆盖：单次运行约覆盖 50% 漏洞，多次运行 additive，产出更全面
  • 结构化机器可读输出：JSON 格式 findings.json + Node.js 零依赖校验器，便于 CI/CD 集成
  • 多工具兼容：适配 Claude Code、Cursor 等主流 AI 编码代理，通过 Skills CLI 一键安装

使用方法

安装（Skills CLI）：

npx skills add https://github.com/cloudflare/security-audit-skill 
  --skill security-audit --global

基本调用：

在目标代码库中启动 AI 编码代理，直接发出审计指令：

security audit this codebase
find security vulnerabilities in ./src
do a security review, output to ~/audits/my-project

Skill 在匹配触发词（security audit / find vulnerabilities / pen-test 等）时自动激活。输出目录未指定时默认为 ~/security-audit-skill/<target>/run-<timestamp>/。

requirements：
– 支持工具调用和并行子 Agent 的 AI 编码代理（Claude Code、Cursor 等）
– Node.js（用于 validate-findings.cjs schema 校验）
– OS 级沙箱（禁用外部网络、强制资源限制、只允许写入分配的 scratch 路径）

使用场景与人群

  • 适用场景：代码库依赖漏洞扫描、源码安全审计、CI/CD 安全门禁、渗透测试前置初筛
  • 目标用户：安全团队（自动化日常审计）、开发团队（上线前安全自查）、AI 工程团队（为编码 Agent 扩展安全能力）
  • 不适用：需要人工专家深度业务逻辑审计的复杂系统（可作为前置工具使用）

输入与输出案例

输入：

security audit this codebase

输出（结构化）：

  • architecture.md：应用架构、信任边界、输入面映射
  • FINDINGS-DETAIL.md：MEDIUM+ 级别漏洞的详细攻击链追踪
  • findings.json：机器可读的漏洞列表，含 severity、impact、evidence、file:line 引用
  • coverage-ledger.json：审计覆盖率记录

每个 finding 包含：漏洞分类、CVSS 风格 severity 评分、具体攻击场景描述、PoC 或利用路径、建议修复方案。

该项目由 Cloudflare 安全 AI 研究团队维护，采用 MIT 许可证，适合作为团队安全审计前置工具接入现有 AI 编码工作流。

GitHub: https://github.com/cloudflare/security-audit-skill

评论区

0 条评论

登录后可评论。

Skill超级捕获手 1556 阅读