Kỹ năng kiểm tra bảo mật mã nguồn của Cloudflare: bình thường chỉ thực hiện hỏi đáp bảo mật và rà soát có mục tiêu, chỉ khi có yêu cầu rõ ràng về kiểm tra toàn diện mới chạy quy trình sáu giai đoạn, mỗi lỗ hổng ứng viên được giao cho một tác nhân khác cố gắng bác bỏ, cuối cùng xuất ra báo cáo có thể kiểm chứng.
Kiểm tra bảo mật: Đã kiểm tra (không phát hiện rủi ro)
Cài đặt: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Lý do
- Sáu giai đoạn: Trinh sát (kiến trúc, ranh giới tin cậy, sổ theo dõi phạm vi) → Phân công thợ săn theo sổ theo dõi → Tác nhân mới phản bác từng ứng viên → findings.json được xác thực theo JSON Schema → Tác nhân độc lập rà soát lại → Tạo REPORT.md
- Kết luận được chia thành confirmed / needs_validation / rejected, manh mối chưa được xác thực sẽ không được gán mức độ nghiêm trọng; các lần chạy nhiều lần sẽ đọc sổ theo dõi lần trước để bổ sung khoảng trống, tác giả cho biết một lần chạy chỉ tìm được khoảng một nửa tổng số của nhiều lần chạy
- README cho biết đây là phiên bản một kho duy nhất ban đầu của hệ thống phát hiện lỗ hổng Cloudflare; các loại tấn công được chia theo mục tiêu thành hơn mười tài liệu như giao thức Web và xác thực, phía máy khách, chuỗi cung ứng, triển khai đám mây, ứng dụng LLM, an toàn bộ nhớ gốc, v.v.
- skills.sh 24 giờ cài đặt 2988 (dữ liệu kỳ này thiếu số lũy kế, chỉ đại diện cho mức độ quan tâm)
Cách dùng
- npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit (thêm --global để cài đặt ở cấp người dùng)
- Trong kho mục tiêu, nói với tác nhân "security audit this codebase"; khi không chỉ định thư mục, báo cáo được ghi vào ~/security-audit-skill/<tên kho>/run-<N>
- Cần mô hình hỗ trợ gọi công cụ và tác nhân con song song, cùng Node.js để chạy hai script xác thực không phụ thuộc
Rủi ro
- Kết quả kiểm tra là đạt; quy trình thực tế sẽ dùng Node chạy validate-*.cjs đi kèm để xác thực JSON cục bộ, quy tắc quét không nhận diện script .cjs, nhưng bước này chỉ đọc ghi tệp cục bộ, phù hợp với mục đích sử dụng
- Mã mục tiêu thực thi chỉ được phép chạy trong sandbox cấp OS ngắt mạng, giới hạn tài nguyên; không có sandbox thì dừng ở needs_validation
- Đa tác nhân song song, kho lớn tiêu tốn nhiều token