Security Audit Skill

Účel

Skill pro coding agenty (Claude Code a spol.), který z asistenta udělá bezpečnostního auditora. Audit běží v šesti fázích: zmapování architektury a pokrytí, izolovaný lov zranitelností, adversariální ověření kandidátů, strukturovaný výstup nálezů, nezávislé přezkoumání každého tvrzení proti zdrojáku a nakonec report. Cílí na webové aplikace, API, služby, CLI nástroje, knihovny i démony.

Odlišnost

Těžiště není v hledání, ale v tom, co se s nálezem stane potom. Kandidáta ověřuje jiný agent než ten, který ho našel, a jeho úkolem je nález vyvrátit. Co projde, dostane verdikt confirmed, needs_validation nebo rejected, takže výstup není seznam podezření, ale tříděný materiál. Závažnost se odvozuje od prokázaného průlomu hranice důvěry, ne od odchylky od checklistu — „potenciální" nález bez důkazu neprojde.

Druhá vlastnost je přírůstkovost: opakovaný běh cílí na díry v pokrytí a přehodnocuje změněný kód, místo aby začínal od nuly.

Proti Strixu, který máme v katalogu, je to jiná liga úkolu: Strix se zranitelnost pokouší skutečně vyexploitovat v Dockeru, tohle je čtení zdrojáku s křížovou kontrolou. Strix potřebuje běžící cíl, tenhle skill jen kód.

Nasazení

Instalace přes Skills CLI:

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Pak stačí agenta požádat přirozeně — „proveď bezpečnostní audit téhle codebase", „najdi zranitelnosti v ./src". Zdarma pod MIT; co to stojí, jsou tokeny modelu, pod kterým agent běží.