Cloudflareが公開した6段階セキュリティ監査スキル、コーディングエージェントを監査チームに変える仕組み

脆弱性開示ラッシュの今、自社コードを見直すためのエージェントスキル

Turn your coding agent into a team of security auditors with the open-source skill that seeded Cloudflare's vulnerability discovery harness.

Cloudflare Developersは、コーディングエージェントに読み込ませるだけで多段階のセキュリティ監査を実行させるオープンソーススキル「security-audit-skill」をGitHubで公開した。発表ポストは147万回以上表示され、ブックマークは2万8千件を超えている。

単発のスキャンではなく、独立して検証された機械可読な所見を得ることを目的に設計されている点が特徴だ。リポジトリはMITライセンスで、skills/security-audit配下にスキル本体が置かれている。

参照先[1][2]

コード把握から報告までを6フェーズに分離する設計

このスキルは監査作業を6つの段階に切り分ける。1.コードベースの地図を作る、2.脆弱性候補を探す、3.各候補に異議を立てて吟味する、4.所見を記録する、5.所見を検証する、6.確定・却下・要検証のいずれかとして報告する、という流れだ。

候補をいきなり確定にせず、異議と検証を挟むことで、エージェントの思い込みや誤検知を弾く。最終出力は確定・却下・未検証に分類され、人間が次の判断をしやすい形で残る。

• Map the codebase：対象コードの全体像を先に把握する
• Hunt for vulnerabilities：監査観点で候補を洗い出す
• Challenge each candidate：候補ごとに反証を試みる
• Record and Verify：所見を記録し、独立に検証する
• Report：確定・却下・要検証として機械可読に報告

参照先[1][2]

導入と運用の勘所

リポジトリには使い方と要件が用意されており、対応するコーディングエージェントにスキルとして組み込む形で利用する。Cloudflare自身が脆弱性発見のハーネス（発見基盤）を育てる起点になった手法だと説明しており、社内専用ツールではなく公開物として配布されている。

参照先[1][2]