Cloudflare 开源 security-audit-skill：4.2 万星的 Agent 安全审计工作流，6 个阶段查漏洞、结论还要过独立验证

这是 Cloudflare 开源的一个 coding-agent 技能，今日登上 GitHub Trending，目前 4.2 万星、MIT 开源。装上之后，对 Agent 说一句“security audit this codebase”，它就会按一套固定流程给代码库做安全审计，而不是随口给结论。项目地址：cloudflare/security-audit-skill。

流程分 6 个阶段：先侦察架构与信任边界，再按覆盖清单派“猎手”找漏洞，每个候选结论交给一个全新的验证者去“证伪”，最后输出 confirmed、needs_validation、rejected 三种带来源追踪的结论，并由独立 Agent 复核报告。核心原则有三条：发现者不能验证自己的结论；没有实际影响的不算漏洞；多跑几轮覆盖更多——官方实测单轮只能找到多轮总量的约一半。

安装只要一条命令：npx skills add https://github.com/cloudflare/security-audit-skill –skill security-audit。需要一个支持并行子 Agent 的编码 Agent、Node.js，以及一个禁用外网的沙箱环境。适合经常要给自己项目做安全自查的开发者，也适合学 Agent 工作流设计的人当范本看——它的 SKILL.md、攻击分类清单和校验脚本都是现成的。同样是把 Agent 技能玩出花的，还有之前发过的 ECC：给 Claude Code 装上 71 个专家 Agent 和 311 个技能。

来源：GitHub @cloudflare，原文：https://github.com/cloudflare/security-audit-skill