cloudflare/security-audit-skill

Cloudflare 开源的编码代理技能：让代理按六个阶段做代码安全审计，每条疑似漏洞都交给另一个代理尝试推翻。 星数 38988（+2845 / 24h） **理由** - 流程固定为侦察、按覆盖账本分派猎手、独立验证、按 JSON Schema 输出、二次独立复核、生成报告，多次运行可叠加补覆盖 - 官方称它是 Cloudflare 漏洞发现 harness 的起点；作者称单次运行约能找到多次运行总数的一半 - 结论分 confirmed / needs\_validation / rejected 三类，未坐实的线索不给严重级别 - 当日新增 2845 星，总星 38988，Trendshift 当日第 1（只代表关注度） **用法** - npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit（加 --global 为用户级安装） - 在要审计的仓库里对代理说 “security audit this codebase” 或 “find security vulnerabilities in ./src” - 需要支持工具调用和并行子代理的模型，以及 Node.js（运行零依赖校验脚本）；默认输出到 ~/security-audit-skill/\<repo\>/run-\<N\> **风险** - 要执行目标代码（构建、测试、fuzz）必须有 OS 级沙箱：断网、白名单环境变量、资源限制，没有沙箱的线索只停在 needs\_validation - 多代理并行，token 消耗随仓库规模上升 [打开](https://github.com/cloudflare/security-audit-skill)