security-audit — скилл
Скилл аудита безопасности кода от Cloudflare: агент проходит разведку, охоту по покрытию и независимую проверку находок и выдает структурированный отчет
- 71 520 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Читает исходники проекта и запускает сборки, тесты и фикстуры цели в песочнице
- Порождает изолированных под-агентов и пишет артефакты аудита на диск
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add skills/security-auditОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Читает исходники проекта и запускает сборки, тесты и фикстуры цели в песочнице
- Порождает изолированных под-агентов и пишет артефакты аудита на диск
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Скилл превращает кодинг-агента в аудитора безопасности и ведет проверку в шесть фаз: разведка архитектуры и границ доверия, охота по журналу покрытия силами изолированных под-агентов, валидация каждого кандидата отдельным проверяющим, структурированный вывод в findings.json, независимая перепроверка исходных фактов и отчет без привязки к конкретной цели. Находка получает статус confirmed только при полной трассировке по исходникам и наблюдаемом результате, иначе она остается needs_validation без оценки серьезности. Агент, который проверяет находку, никогда не тот, кто ее нашел. Выполнение кода цели допускается только внутри песочницы с отключенной сетью и лимитами ресурсов, а без такой песочницы след остается непроверенным. Есть режим точечных подсказок и режим полного аудита, повторные прогоны дополняют покрытие и учитывают прежние журналы.
Для кого. Для разработчиков, DevOps- и security-инженеров, которым нужен воспроизводимый аудит кода с доказательной базой.
Подходит, если
- Нужен полный аудит безопасности репозитория или пентест кода с отчетом
- Нужна проверка находок с независимой перепроверкой и трассировкой по исходникам
- Нужно повторить прогон и дополнить покрытие поверх прежних результатов
Не подходит, если
- Нет песочницы с отключенной сетью и лимитами для запуска кода цели
- Нужна проверка боевых стендов и внешних сервисов, а не исходников и локальных фикстур
Пример запроса к агенту
Проведи аудит безопасности этого репозитория и сохрани отчет в отдельную папку вне проектаОграничения
Нужен агент с моделью, поддерживающей вызов инструментов и параллельные под-агенты, и Node.js для валидаторов. Запуск сборок, тестов и фикстур цели допустим только в песочнице с отключенной сетью, чистым окружением и лимитами; без нее находка остается needs_validation. Скилл работает с исходниками и локальными фикстурами, не ходит на боевые стенды и не правит код проекта, а только описывает исправления. Один прогон не гарантирует полноту: авторы отмечают, что несколько прогонов находят заметно больше.
Как отключить. Удалите скилл security-audit из каталога скиллов агента, куда его положил npx skills add, или снимите его тем же инструментом.
Частые вопросы
Чем режим подсказок отличается от полного аудита?
По умолчанию это режим подсказок для точечных вопросов и ревью. Все шесть фаз с записью артефактов запускаются, только когда явно просят аудит, пентест или отчет.
Правит ли скилл код?
Нет. Он находит уязвимости и предлагает минимальное исправление в исходниках, но сам код проекта не меняет.
Чем скилл security-audit от Cloudflare отличается от обычного ревью безопасности?
Он ведет проверку в шесть фаз: разведка архитектуры и границ доверия, охота по журналу покрытия силами изолированных под-агентов, независимая проверка каждой находки и структурированный отчет. Находки не принимаются без валидации.
Как установить скилл security-audit от Cloudflare?
Команда npx skills add https://github.com/cloudflare/security-audit-skill ставит скилл в Claude Code, Cursor и Codex. Скилл от Cloudflare, это официальный репозиторий компании.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
СкиллыCybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
Скилл для Claude Code ищет уязвимости в одной сессии: модель угроз, проверка находок, отчет с CWE и CVSS без внешнего сканера.
Скилл аудита безопасности с ГОСТ и ФСТЭК
Security Audit Skill for Claude Code
Скилл аудита безопасности для Claude Code: OWASP Top 10 плюс ГОСТ Р 56939, приказ ФСТЭК №21 и ФЗ-152, параллельные сабагенты и матрица соответствия
VibeSec
VibeSec-Skill
Скилл безопасной разработки: агент смотрит на код глазами багхантера и предотвращает типовые уязвимости веб-приложений
Скилл аудита безопасности и 152-ФЗ с ценой риска в рублях
axioma-security
Скилл для глубокого аудита безопасности сайта и соответствия 152-ФЗ: каждая находка привязана к статье закона и оценена в рублях
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| security-audit (эта карточка) | нет | 71 520 | |
| Vibe Security | нет | 1 231 | скилл для аудита вайбкод-приложений |
| Mantis | да | 2 771 | 19 скиллов Google для поиска |
| vbsec — проверка безопасности кода, написанного ИИ | нет | 329 | скилл для Claude Code и Codex |
Из блога
Коротко о README
README описывает скилл, который делает из кодинг-агента аудитора безопасности и запускает проверку в шесть фаз с изолированными под-агентами и независимой валидацией находок. Это стартовая версия харнесса, из которого выросла система поиска уязвимостей Cloudflare. Скилл ставится через npx skills add, а для запуска кода цели требует песочницы с отключенной сетью, чистым окружением и лимитами ресурсов. Вердикты различаются: confirmed с полной трассировкой и результатом, needs_validation с точным неразрешенным фактом и без серьезности, rejected для опровергнутого кандидата. Лицензия MIT.
Бейдж для README
Исходный SKILL.md
--- name: security-audit description: Security guidance and vulnerability review for codebases, APIs, services, CLI tools, libraries, and daemons. Use for security questions, focused reviews, vulnerability research, security audits, or pen tests. Run the complete workflow only for explicit codebase audit or pen-test requests, full/comprehensive/end-to-end reviews, or requested report artifacts. --- # Security Audit Find vulnerabilities that violate a real trust boundary, then give owners the source evidence, safe reproduction, priority, and smallest effective fix. This is a defensive, source-first workflow. A candidate without a concrete affected principal, resource, or security outcome is not a confirmed finding. ## Operating modes This skill is guidance by default. Loading it does not authorize the complete audit workflow or file creation. - **Guidance mode**: For security questions, focused reviews, methodology, triage, or investigation of specific findings, use only the relevant parts of this skill. Do not automatically run all six phases, create an output directory, or write audit artifacts. You may launch focused agents when useful; they return results to the current task. - **Full audit mode**: Use the complete workflow when the user explicitly asks to audit or pen-test a codebase, asks for a full, comprehensive, or end-to-end security review, or requests report artifacts. Run all six phases and write the files defined below.