cloudflare/security-audit-skill

Что это за инструмент

Навык (skill) для AI-агентов, превращающий их в системных аудиторов безопасности через многофазный процесс с независимой верификацией находок.

Зачем нужен

Инструмент автоматизирует сложный процесс поиска уязвимостей, используя изолированных субагентов для разведки, охоты на баги и валидации кандидатов. Он полезен тем, что обеспечивает машинно-читаемый вывод, строгую проверку результатов и добавляемость результатов при повторных запусках.

Что можно реализовать

• Автоматизированный аудит безопасности целого репозитория с генерацией структурированного отчета
• Поиск специфических уязвимостей в LLM-приложениях (prompt injection, agent/tool abuse)
• Анализ инфраструктуры и CI/CD пайплайнов на предмет ошибок конфигурации и supply-chain рисков
• Исследование нативных приложений и локального IPC на предмет проблем изоляции и безопасности

Ключевые возможности

• Шестифазный процесс: от разведки архитектуры до независимой верификации и нейтрального отчета
• Использование изолированных субагентов (hunters и verifiers) для минимизации ошибок LLM
• Детерминированный ledger покрытия (coverage-ledger) для отслеживания проверенных зон и поиска пробелов
• Строгая валидация выводов через JSON Schema и zero-dependency скрипты (validate-findings.cjs)
• Аддитивность: повторные запуски учитывают предыдущие результаты, избегая дублирования и перепроверки стабильного кода

👤 Кому подойдёт: Разработчики, занимающиеся безопасностью (AppSec), исследователи уязвимостей и команды, использующие coding-agent для автоматизации code review и pen-testing