Security Audit Skill

cloudflare/security-audit-skillRevisado por IA

Qué hace

Este es un paquete de instrucciones para agentes de codificación con IA, publicado por Cloudflare. Una vez instalado, le pides a tu agente que haga una "auditoría de seguridad de este código" y él realiza una revisión de seis pasos: mapea el código, envía agentes separados a buscar debilidades, hace que un segundo agente intente refutar cada hallazgo, y luego escribe un informe que divide los hallazgos en confirmados, por revisar y rechazados. Es para quienes ya usan un agente de codificación con IA; también necesitas tener Node instalado para los dos scripts de verificación. El repositorio contiene solo archivos de texto y esos scripts.

Facilidad de instalación

C · instalar 1 o 2 herramientas · Windows

Windows C
macOS C
Linux C

Funciona igual en los tres sistemas y no hay instalador: necesitas Node, ejecutas `npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit` en una terminal, y luego le pides a tu agente de codificación con IA que haga la auditoría. El README también pide un entorno aislado (sandbox) impuesto por el sistema operativo antes de permitir que el agente ejecute el propio código del proyecto auditado, lo cual es una configuración adicional.

Números en GitHub

Estrellas: 55.343el 31 oct 2026
Descargas: —todas las versiones
Crecimiento: +6769estrellas en 5 días

Estrellas a lo largo del tiempo

Datos

Funciona en: Windows, macOS, Linux
Necesitas instalar: Node.js
Espacio en disco: no determinado
Cuentas o claves: Ninguna
Costo: Gratis, la API se paga · MIT y gratis. Nada funciona sin un agente de codificación con IA: el README pide "un agente de codificación con un modelo que admita uso de herramientas y subagentes en paralelo", que pagas por separado, y una auditoría larga usa muchas llamadas al modelo.
Licencia: MIT (Permisiva)
Puede reemplazar: Snyk
Última actualización: 14 sept 2026

Señales de riesgo (5)

AtenciónEjecuta el código del proyecto auditado
Requisitos del README: "An OS-enforced sandbox for target-controlled builds, tests, processes, browsers, emulators, fuzzers, and fixtures. It must disable external networking, use a sanitized allowlisted environment, enforce resource limits, and allow writes only to assigned scratch paths. Without these controls, the workflow keeps the lead as `needs_validation` instead of executing target code." Configurar ese entorno aislado (sandbox) corre por tu cuenta.
revisión con IA
InfoEncuentra debilidades en cualquier código que le indiques
Uso en el README: "Start your coding agent in (or pointed at) the codebase you want to audit", y la lista de activadores incluye "pen-test the code". Los hallazgos describen debilidades reales, así que el informe es material sensible y apuntarlo a software que no es tuyo puede cruzar una línea.
revisión con IA
InfoMuchas llamadas al modelo por ejecución
El README describe seis fases con "isolated hunters", "coverage critics", un "fresh verifier" por cada candidato y "fresh agents" para la verificación de registros, y dice "a single run found roughly half of the vulnerabilities that repeated runs found in total". Eso significa mucho uso de IA por auditoría.
revisión con IA
InfoSin versiones publicadas y sin actividad desde hace semanas
El repositorio no tiene releases en GitHub y el último commit de esta captura tiene 44 días, así que instalas lo que haya en la rama principal en ese momento.
revisión con IA
InfoEscribe archivos fuera de tu proyecto
Uso en el README: "In full audit mode, an unspecified output directory defaults to `~/security-audit-skill/<repo-name>/run-<N>`." Los informes con hallazgos de vulnerabilidades quedan en tu carpeta personal a menos que elijas otra ruta.
revisión con IA

La evidencia aparece en su idioma original.

Lo que Radar no pudo verificar

Si los hallazgos son reales: el propio informe del proyecto los divide en confirmados, por validar y rechazados
Cuánto te cobrará tu agente de IA por una auditoría completa de un proyecto real
Si funciona en un agente de codificación determinado, ya que necesita subagentes en paralelo
Cómo configurarías realmente el entorno aislado impuesto por el sistema operativo que exige el README
Si pasa por alto debilidades importantes, ya que el README dice que una sola ejecución encontró alrededor de la mitad de lo que encontraron ejecuciones repetidas