Security Audit Skill

cloudflare/security-audit-skillAI 已审核

用途

这是 Cloudflare 发布的一套面向 AI 编程代理的指令包。安装后,你让代理对这个代码库做“漏洞审计”,它会执行六步审查:先绘制代码结构,再派出多个独立代理去寻找薄弱点,然后让另一个代理去反驳每一条发现,最后写出一份报告,把发现分为已确认、待核实和已驳回三类。它适合已经在用 AI 编程代理的人;两个检查脚本还需要安装 Node。该仓库只包含文本文件和这两个脚本。

安装难易度

C · 需要安装 1–2 个工具 · Windows

Windows C
macOS C
Linux C

在三个系统上操作方式相同,也没有安装程序:你需要 Node,在终端运行 `npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit`,然后让你的 AI 编程代理执行审计。README 还要求在允许代理运行被审计项目自身代码之前,先搭建一个由操作系统强制的隔离环境(sandbox),这需要额外的配置。

GitHub 数据

星标: 55,3432026年10月31日
下载量: —所有发布版本
增长: +6,7695 天内新增星标

星标变化

事实

可运行于: Windows, macOS, Linux
需要安装: Node.js
磁盘空间: 未确定
账号或密钥: 无
费用: 免费，API 另行收费 · MIT 许可,免费。没有 AI 编程代理什么都跑不起来:README 要求“一个支持工具调用和并行子代理的模型的编程代理”,这部分费用需要你自行另付,一次长时间的审计会用掉很多模型调用次数。
许可证: MIT (宽松型)
可以替代: Snyk
最近更新: 2026年9月14日

风险信号 (5)

注意会运行被审计项目的代码
README 的 Requirements 部分："An OS-enforced sandbox for target-controlled builds, tests, processes, browsers, emulators, fuzzers, and fixtures. It must disable external networking, use a sanitized allowlisted environment, enforce resource limits, and allow writes only to assigned scratch paths. Without these controls, the workflow keeps the lead as `needs_validation` instead of executing target code." 搭建这个沙箱由你自己负责。
AI 审核
信息能在你指定的任何代码库中找出弱点
README 的 Usage 部分："Start your coding agent in (or pointed at) the codebase you want to audit"，触发词列表中包含 "pen-test the code"。这些发现描述的是真实存在的弱点，因此报告属于敏感材料，把它用在不属于你的软件上可能越界。
AI 审核
信息每次运行都会多次调用模型
README 描述了六个阶段，包含 "isolated hunters"、"coverage critics"、为每个候选项配备的 "fresh verifier"，以及用于记录核验的 "fresh agents"，并表示 "a single run found roughly half of the vulnerabilities that repeated runs found in total"。这意味着每次审计都会消耗大量 AI 用量。
AI 审核
信息没有发布版本，且数周无更新
该仓库在 GitHub 上没有发布版本（release），本次快照中的最后一次提交已是 44 天前，所以你安装的是当时主分支上的任何内容。
AI 审核
信息会在你的项目之外写入文件
README 的 Usage 部分："In full audit mode, an unspecified output directory defaults to `~/security-audit-skill/<repo-name>/run-<N>`." 带有漏洞发现的报告会落在你的主文件夹中，除非你另选路径。
AI 审核

证据以原始语言显示。

Radar 无法验证的内容

发现的问题是否属实:项目自己的报告把它们分为已确认、待核实和已驳回
你的 AI 代理对一个真实项目做完整审计会收多少费用
它是否适用于某个特定的编程代理,因为它需要并行子代理
你实际该如何搭建 README 要求的、由操作系统强制的隔离环境
它是否会漏掉重要的薄弱点,因为 README 提到单次运行只发现了多次重复运行所发现问题的大约一半