security-audit：用分阶段验证流程组织编程智能体开展安全审计
一分钟看懂
security-audit 是 Cloudflare 发布的编程 Agent 技能，把代码安全审计拆成侦察、覆盖面驱动的漏洞搜索、候选验证、结构化记录、独立复核和报告生成六个阶段，重点降低未经验证结论进入最终报告的风险。
你可以用它做什么
- 为一个代码仓库建立架构、信任边界和攻击面清单。
- 让隔离的审计 Agent 按覆盖单元寻找潜在漏洞。
- 由新的验证者尝试否定候选问题，并区分确认、待验证与已排除结论。
- 生成机器可读的发现记录以及面向读者的审计报告。
主要能力
- 提供覆盖账本、发现记录和 JSON Schema 校验器。
- 覆盖 Web、认证、供应链、云部署、客户端、AI/LLM 和资源耗尽等攻击类别。
- 支持多次审计累积覆盖，并针对代码变化重新验证证据。
- 用独立 Agent 复核最终源码依据和重要替换记录。
适合哪些人
适合在授权范围内审查代码库的安全工程师、开发团队和研究人员，也适合希望建立可追踪、可复核 Agent 安全审计流程的工具开发者。
怎么开始使用
官方提供 Skills CLI 安装方式：npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit。安装后在目标代码库中向支持工具调用和并行子 Agent 的编程助手提出安全审计请求，并为输出选择独立目录。
使用前需要知道
该技能不能替代人工安全评审，也不能保证发现所有漏洞。官方要求对目标控制的构建、测试、浏览器、模拟器和模糊测试使用操作系统级沙箱，关闭外部网络、清理环境变量并限制资源。只能审计自己拥有或明确获授权的目标。项目采用 MIT 许可证。