security-audit（Cloudflare）

Cloudflare 的代码安全审计技能：平时只做安全问答和定点审查，明确要求全面审计时才跑六阶段流程，每条候选漏洞交给另一个代理尝试推翻，最后输出可校验的报告。 **安全审计**：已审计（未发现风险） 安装：`npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit` **理由** - 六个阶段：侦察（架构、信任边界、覆盖台账）→ 按台账分派猎手 → 新代理逐条反驳候选 → findings.json 按 JSON Schema 校验 → 独立代理复核 → 生成 REPORT.md - 结论分 confirmed / needs\_validation / rejected，没坐实的线索不给严重级别；多次运行会读上次的台账补缺口，作者称单次运行大约只找到多次运行总数的一半 - README 称这是 Cloudflare 漏洞发现系统最初的单仓库版本；攻击类别按目标拆成 Web 协议与认证、客户端、供应链、云部署、LLM 应用、原生内存安全等十余份文档 - skills.sh 24 小时安装 2988（本期数据缺累计数，只代表关注度） **用法** - npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit（加 --global 为用户级安装） - 在目标仓库里对代理说 “security audit this codebase”；没指定目录时报告写到 ~/security-audit-skill/\<仓库名\>/run-\<N\> - 需要支持工具调用和并行子代理的模型，以及运行两个零依赖校验脚本的 Node.js **风险** - 审计结果为通过；实际流程会用 Node 运行自带的 validate-\*.cjs 校验本地 JSON，扫描规则没有识别 .cjs 脚本，但这一步只读写本地文件，与用途相符 - 执行目标代码只允许在断网、限资源的 OS 级沙箱里做，没有沙箱就停在 needs\_validation - 多代理并行，大仓库 token 消耗高 [打开](https://www.skills.sh/cloudflare/security-audit-skill/security-audit) · [仓库](https://github.com/cloudflare/security-audit-skill)