cloudflare/security-audit-skill 是 Cloudflare 开源的一个面向编码智能体（coding agent）的安全审计 Skill，用于把支持工具调用和并行子代理的 AI 编程助手转变为多阶段安全审计器。它通过侦察、漏洞挖掘、反向验证、报告生成、结构化输出、独立复核六个阶段，对代码库进行系统性安全审查，并输出人类可读报告和机器可读的 findings.json。该项目更像是一套 AI 安全审计工作流、Prompt 编排和报告规范，而不是传统意义上的扫描器或独立 CLI 漏洞检测工具。
适用领域
应用安全审计 / AI Agent 安全工具 / 代码安全审查 / 漏洞挖掘流程自动化 / DevSecOps / 安全报告结构化 / 大模型辅助渗透测试 / 软件供应链安全
配置难度
中等。安装本身较简单，只需 Node.js、Skills CLI 和兼容的 coding agent；但要获得高质量结果，需要使用者理解安全审计、漏洞影响评估、AI agent 工作方式，以及如何复核 findings.json 和报告。对于普通开发者可作为辅助工具使用；对于安全团队，更适合纳入现有审计流程并结合人工验证。
商业价值
该项目的商业价值主要在于提升安全审计效率和标准化程度。对研发团队而言，它可以在上线前快速发现部分真实可利用漏洞，降低安全事故风险；对安全团队而言，它提供了一套可复用的 AI 多代理审计流程，能够把侦察、漏洞挖掘、反向验证和报告输出规范化；对企业平台团队而言，findings.json 和 schema 方便接入内部漏洞管理、CI/CD 或 DevSecOps 平台。不过，它更适合作为安全能力增强工具，而不是完全替代专业安全测试或合规审计的独立解决方案。
01
技术亮点
- 采用六阶段安全审计流程：Recon、Hunt、Validate、Report、Structured output、Independent verification。
- 强调“只报告可利用漏洞”，要求每个发现都具备具体攻击场景，而不是泛泛的安全建议。
- 使用对抗式验证：发现漏洞的 agent 和验证漏洞的 agent 分离，有助于降低误报。
- 支持多代理并行，从不同攻击类别审视代码，提高覆盖率。
- 输出 both 人类可读报告和机器可读 findings.json，便于安全平台集成。
- 内置 report-schema.json 和零依赖 Node.js 校验器 validate-findings.cjs。
- 支持多次运行增量审计，会读取已有 findings.json，跳过已知问题并探索新路径。
- 由 Cloudflare 开源，具备较强的可信背书和工程实践参考价值。
- MIT License，便于企业内部二次开发和集成。
02
目标用户
- 安全工程师
- 代码审计人员
- 红队/渗透测试人员
- DevSecOps 团队
- 使用 AI 编程助手的后端/全栈开发者
- 希望在发布前进行安全检查的研发团队
- 安全研究员
- 构建企业内部 AI 安全审计流程的平台团队
03
配置要求
- 需要 Node.js，用于运行 validate-findings.cjs 对 findings.json 进行 schema 校验。
- 需要 Skills CLI 或兼容 skills.sh 的环境。
- 需要一个支持该 Skill 机制的 coding agent。
- 模型需要具备工具调用能力，否则无法有效读取代码、执行验证和生成结构化结果。
- 模型最好支持并行子代理，否则该项目设计中的多代理并行侦察、挖掘、验证效果会受限。
- 需要目标代码库的本地访问权限或 agent 可访问的路径。
- 对于私有仓库，需要确保 agent 运行环境已具备相应代码访问权限。
- 如果要输出到指定目录，需要提前配置可写的审计结果目录。
04
适用场景
- 对单个 GitHub 仓库进行 AI 辅助安全审计
- 在代码上线前查找可利用的真实漏洞
- 生成包含攻击路径、影响范围和验证过程的安全报告
- 输出符合 JSON Schema 的结构化漏洞结果，便于接入内部安全平台
- 对历史审计结果进行增量审计，避免重复发现已知问题
- 让多个子代理从注入、访问控制、业务逻辑、密码学、功能滥用等不同角度并行挖掘漏洞
- 通过独立验证机制降低 AI 漏报和误报风险
- 作为企业自研漏洞发现 harness 或 AI 安全审计平台的起点
05
部署与配置
- 确保本地已安装 Node.js。
- 确保使用的编码智能体支持工具调用和并行 sub-agent 能力。
- 使用 Skills CLI 安装该 Skill：npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
- 如需全局安装，执行：npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global
- 在需要审计的代码库目录中启动支持 Skills 的 coding agent。
- 向 agent 发出类似“security audit this codebase”或“find security vulnerabilities in ./src”的请求。
- 如未指定输出目录，工具会询问输出位置，默认通常为 ~/security-audit-skill/<repo-name>/run-<N>。
- 审计完成后查看 architecture.md、REPORT.md、FINDINGS-DETAIL.md 和 findings.json 等输出文件。
06
风险与注意事项
- 它不是传统静态分析器，实际效果高度依赖所使用的大模型、coding agent 能力和上下文窗口。
- AI 安全审计仍可能存在误报和漏报，不能完全替代人工安全审查。
- 需要 agent 读取代码库，私有代码使用时应评估数据安全、模型供应商和日志留存风险。
- 并行子代理和多阶段审计可能消耗较多 token、时间和 API 成本。
- 对大型单体仓库或复杂微服务体系，单次运行可能覆盖不足，需要多次审计。
- README 中未显示具体测试覆盖率、基准数据或与传统 SAST 工具的系统对比。
- 如果 coding agent 执行命令权限过大，可能引入本地环境安全风险，需要沙箱或最小权限运行。
- 项目本身主要是提示词和流程编排，不能保证在所有语言、框架和业务场景中都稳定发现高价值漏洞。
2026-06-22
第27名
新收录 · github_search
