Cloudflare открыла Security Audit Skill — аудитор из кодинг-агента

Cloudflare открыла в публичный доступ Security Audit Skill — набор инструкций для кодинг-агентов, который превращает их в аудиторов безопасности. Репозиторий выложен под лицензией MIT, установка занимает одну команду, а подключается он к любому агенту с поддержкой инструментов.

Аудит идёт в шесть этапов. Сначала агент проводит разведку: составляет карту архитектуры, границ доверия и поверхностей ввода. Затем по этой карте распределяются изолированные «охотники»: они ищут уязвимости и отдельно фиксируют, что именно успели проверить.

Каждый найденный кандидат уходит свежему проверяющему, который пытается его опровергнуть. Проверяющий никогда не является тем, кто нашёл находку, — ставка сделана на состязательную валидацию, а не на самопроверку.

На выходе получается машиночитаемый отчёт с тремя категориями: подтверждённые проблемы с полным следом до исходного кода, находки, требующие проверки, по которым остался точный нерешённый вопрос без оценки серьёзности, и отклонённые кандидаты. Формат проверяют скриптами-валидаторами, а независимые агенты перепроверяют финальные утверждения.

В репозитории честно оговаривают ограничение: один прогон находит примерно половину уязвимостей от того, что дают повторные запуски. Поэтому несколько проходов по одному и тому же коду дополняют друг друга и опираются на уже накопленные находки.

Для работы нужен агент с поддержкой параллельных субагентов, Node.js для валидаторов и жёсткая песочница: без внешней сети, с урезанным окружением и лимитами ресурсов. Если такой изоляции нет, код цели вообще не исполняют, а подозрение остаётся в статусе «требует проверки».

Отдельно подчёркивается принцип: серьёзность требует доказанного влияния, а отсутствие второго слоя защиты не считается уязвимостью, если атаку и так блокирует первый.

Изображение:

Редакторы перевода: Соловьев В., Пеков А.