Cloudflare 安全审计 Skill：让 AI 编码代理成为专业安全审计员

📅 2026年06月24日 · 技术

Cloudflare 开源的 AI 安全审计工具

security-audit-skill 是 Cloudflare 官方开源的一套编码代理（Coding Agent）Skill，它让你的 AI 编程助手化身为专业的安全审计员。这个 Skill 是 Cloudflare 内部漏洞发现工具的开源起点——从单个仓库的审计工具，演变为如今覆盖整个 Cloudflare 集群的安全检测系统。

六阶段审计流程

该 Skill 通过六个阶段的并行管线完成安全审计：

侦察：并行研究代理绘制应用的架构、信任边界和输入面，生成架构文档。
狩猎：多个通用代理从不同角度（注入、访问控制、业务逻辑、加密、特性滥用、链式攻击等）攻击代码库，每个代理还可以启动子代理深入挖掘。
验证：独立的代理尝试推翻每一个发现，通过对抗式审查消除误报。
报告：生成人类可读的安全报告和详细的漏洞追踪文档。
结构化输出：输出符合 JSON Schema 的标准化漏洞数据文件。
独立验证：全新的代理验证结构化输出中每一个事实主张与实际源代码是否一致。

设计理念

Cloudflare 的安全团队遵循几条核心原则：只报告可以实际利用的漏洞（而不是"理论上可能"）；发现漏洞的代理和验证漏洞的代理必须是不同的代理；严重性取决于实际影响而非偏离清单的程度；多层防御的缺失不是漏洞——如果第一层已经阻止了攻击，第二层的缺失只是加固建议。

安装与使用

通过 Skills CLI 即可安装：npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit。启动后只需在编码代理中说"对这个代码库做安全审计"，Skill 便会自动激活，引导你完成完整的审计流程。

参考来源

Cloudflare Security Audit Skill — GitHub