📌 项目：cloudflare/security-audit-skill | 日期：2026-09-17 | 来源：GitHub | Trending详情
security-audit-skill（10.5k星，MIT，JavaScript）是Cloudflare官方开源的coding-agent技能：把你的AI代理变成结构化安全审计员。它不是"让AI随便看看代码找漏洞"，而是六阶段管道：侦察（架构/信任边界/输入面/覆盖账本）→ 覆盖引导狩猎（隔离子猎手+覆盖批评找缺口）→ 候选验证（新鲜验证器试图证伪）→ 结构化输出（findings.json三档裁决）→ 独立记录验证（再一轮新鲜代理核实）→ 目标中立报告。这是Cloudflare漏洞发现harness的种子技能，官方博客描述了它如何长成多阶段车队级系统。与站内Claude-Red教程的"78个SKILL.md攻击技能库"互补——Claude-Red是按对话触发加载的技能集合，security-audit-skill是完整审计管道。
| 特性 | 说明 |
|---|---|
| 六阶段结构化审计 | 侦察→覆盖引导狩猎→候选验证→结构化输出→独立记录验证→目标中立报告，每阶段有validate-* .cjs校验器 |
| 14类攻击面提示库 | 内存安全/二进制/内核、AI与LLM、Web协议与认证、客户端、供应链与发布、云与部署、协议RPC消息、资源耗尽、数据隔离生命周期、桌面移动本地IPC |
| 三档裁决 | confirmed（完整源追溯+有界观察结果）、needs_validation（确切未解事实无严重性）、rejected（已证伪候选）——拒绝模糊地带 |
| 多次运行累加 | 使用先前账本和findings定位缺口、重验变更源、延续当前源证据——不把陈旧或未解工作当已覆盖 |
| 独立验证器 | 每条unique候选给新鲜验证器试图证伪；最终源声明由新鲜代理验证；材料替换再一轮独立验证 |
| 一条安装 | npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global，对任意coding-agent生效 |
# 安装技能（Skills CLI）
npx skills add https://github.com/cloudflare/security-audit-skill \
--skill security-audit --global
# 在要审计的代码库启动coding-agent，然后说：
# security audit this codebase
# find security vulnerabilities in ./src
# 技能会自动走六阶段管道，产出 REPORT.md / FINDINGS-DETAIL.md / NEEDS-VALIDATION.md区别在结构化管道vs自然语言驱动。直接让AI审代码会漏覆盖、位置漂移、质量不稳；security-audit-skill把"必须不出错"的环节焊死在管道里：覆盖账本保证不漏审、隔离子猎手分治、独立验证器试图证伪、三档裁决拒绝模糊。AI只做动态决策，过程受工程约束——与Open Code Review评测里的"确定性管道×LLM混合"同源。
confirmed=有完整源追溯和有界观察结果，可直接修复；needs_validation=有确切未解事实但无严重性判定，分配人工验证；rejected=已证伪候选，记录证伪逻辑避免重复审计。每条都按report-schema.json校验，validate-findings.cjs在Phase 4和Phase 5替换后各跑一次。
不会。技能是累加的：使用先前账本和findings定位缺口、重验变更源、延续当前源证据——不把陈旧或未解工作当已覆盖。适合在CI里定期跑，每次只看增量变化和缺口。