Security-audit skill Cloudflare

источник ↗ ·

Skill для кодирующего агента, который проводит структурированный аудит безопасности в шесть фаз с изолированными агентами и строгой валидацией.

security-audit cloudflare ai-agent vulnerability-hunting coverage-ledger findings-validation multi-stage-workflow sandboxed-execution

privacy

Эта заметка участвует в semantic memory.

AI Summary

🚀 TL;DR: skill превращает coding-agent в security-auditor, который оркестрирует изолированных агентов через шесть фаз: reconnaissance, coverage-led hunting, candidate validation, structured output, independent record verification и target-neutral reporting. 🔑 Ключевые факты: verdicts строго разделены (confirmed — полный trace и bounded result, needs_validation — unresolved fact без severity, rejected — disproved candidate); multiple runs additive и используют prior ledgers; parent запускает validate-coverage-ledger.cjs и validate-findings.cjs после каждого изменения; defense-in-depth gaps не считаются уязвимостями. 📌 Важные детали: 15 отдельных .md-файлов с hunting-классами (ATTACK-CLASSES, MEMORY-SAFETY, AI-AND-LLM, WEB-PROTOCOL, CLIENT-SIDE, SUPPLY-CHAIN, CLOUD-AND-DEPLOYMENT, PROTOCOLS-RPC, RESOURCE-EXHAUSTION, DATA-ISOLATION, DESKTOP-MOBILE, VALIDATION-AND-REPORTING); report-schema.json и два zero-dependency валидатора (.cjs); установка через npx skills add; sandbox обязателен — без него leads остаются needs_validation; output по умолчанию в ~/security-audit-skill//run-. 💡 Вывод и значение: для запуска нужно coding-agent с tool-use и parallel sub-agents + Node.js; sandbox с отключённым внешним сетевым доступом и ограничением ресурсов; триггерные фразы — security audit, find vulnerabilities, pen-test the code; skill активируется автоматически при совпадении триггера; вопросы и фокусные задачи используют guidance mode.

Мои мысли

graph

Карта связей