security-audit

security-audit 是 Cloudflare 在 GitHub 上开源的一个 Skill，装进编程代理以后，代理就能当安全审计员。README 说，Cloudflare 后来做的漏洞发现系统就是从这个 Skill 起步的。审计分六步：先摸清代码的架构、信任边界和输入入口；再派出彼此隔离的子代理按覆盖清单逐块找问题；每个疑似漏洞交给一个新的验证代理，专门去推翻它；结果分成“已确认”“待验证”“已排除”三类写进结构化文件；最后再由新的代理复核，生成报告。同一个代码库可以反复审，后一次会接着前一次没覆盖到的地方查。它特别的地方是“找到问题的代理不负责确认问题”，用互相挑错来减少误报。

适合谁：想给自己的项目做一次系统安全检查的开发者和安全工程师。不写代码的读者用不上。

使用前提：用 npx skills add 安装。需要支持工具调用和并行子代理的编程代理，还要装 Node.js。只能用来审计你自己的、或者已经获得授权的代码库。README 要求，凡是要运行目标代码的构建、测试和模糊测试，都要放在操作系统级的沙箱里，断开外网、限制资源、只允许写指定目录；没有沙箱，它就只记录疑点，不去运行。审计会让代理读取整个代码库，内容会发给你所用的模型服务，费用照常计算。报告默认写在你用户目录下的一个文件夹里。MIT 许可。

以上根据项目公开说明整理，本站没有实际测试。