最后更新：11/7/2026最后核验：2026-11-07
<p>Security Audit Skill 把你的编码智能体变成一名纪律严明的安全审计员。审计分六个阶段：先侦察架构、信任边界和输入面，产出 architecture.md 和 coverage-ledger.json；再从台账单元派出相互隔离的猎手，用覆盖度批评者找盲区；每个独特候选交给一个全新的验证者专门试图推翻它；结论按 confirmed、needs_validation、rejected 三档写入 findings.json，并用零依赖校验器对照 report-schema.json 校验；最后由新的独立智能体复核最终来源声明，重大替换还要再审一遍。单次运行大约能找到重复运行总成果的一半，多轮审计是累加的：它会复用此前的台账和结论瞄准缺口、重新验证已变更的源码，且不把过期或未定论的工作当成已覆盖。技能附有内存安全、供应链、云部署、协议、客户端、LLM 注入等攻击类别的狩猎参考文件。使用前提：需要支持工具调用与并行子智能体的编码智能体、Node.js 运行校验器，以及一个禁外网的系统级沙箱来执行目标代码，否则流程会把发现保留为 needs_validation 而不执行目标代码。它按你自己的模型与额度运行，不是一键扫描产品。本文依据 Cloudflare 官方 GitHub 仓库与博客核验，未对任何代码库发起审计。</p><ul><li>六阶段审计流：侦察、覆盖度猎捕、候选验证、结构化输出与独立复核</li><li>confirmed / needs_validation / rejected 三档结论，对照 JSON Schema 自动校验</li><li>多轮审计累加复用台账，瞄准覆盖缺口并重验变更源码</li><li>覆盖内存安全、供应链、云、协议、客户端与 LLM 目标的攻击类参考</li></ul>
详情
平台
功能特性
- Six-phase audit flow: reconnaissance, coverage-led hunting, candidate validation, structured output, and independent record verification
- confirmed / needs_validation / rejected verdicts validated against report-schema.json with zero-dependency validators
- Multi-run additive audits reuse prior ledgers and findings to target coverage gaps and revalidate changed source
- Attack-class reference files for memory safety, supply chain, cloud, protocols, client-side, and LLM-related targets
支持语言
适合人群
已知限制
- Needs a coding agent with tool use and parallel sub-agents, plus Node.js for the validators
- Target-controlled builds and dynamic checks require an OS-enforced sandbox with disabled external networking
- Single-run audits catch roughly half the vulnerabilities that repeated runs find, per Cloudflare's test runs
- Runs your agent models under your own plan; not a turnkey scanning product
