Cloudflare公开的6阶段安全审计技能：把编程代理变成审计团队的机制

Cloudflare Developers在GitHub上公开了开源技能「security-audit-skill」，把编程代理变成一支按6个阶段工作的安全审计团队。它把代码掌握、漏洞探索、提出异议、记录、验证，以及按确认、驳回、未确认出具报告拆开处理，并把支撑自家漏洞发现的方法原样发放出来。

核心要点速览

Cloudflare Developers在GitHub上公开了开源技能「security-audit-skill」。编程代理只要读入它，就能执行多阶段安全审计。相关发布帖的展示次数已超过147万，收藏超过2.8万条。

它的着眼点不是做一次扫描就结束，而是拿到经过独立核验、机器可读的发现。仓库采用MIT许可证，技能本体放在 skills/security-audit 目录下。

这项技能把审计工作切成6个阶段：1. 给代码库画地图；2. 寻找漏洞候选；3. 对每条候选提出异议并推敲；4. 记录发现；5. 验证发现；6. 以确认、驳回或需验证之一作出报告。

候选不会被直接判为确认。中间插入异议和验证，用来挡掉代理的先入之见和误报。最终输出归入确认、驳回、未验证三类，方便人做下一步判断。

仓库里写了用法和要求，使用方式是把它作为技能装进对应的编程代理。Cloudflare说明，这套方法是他们自己培育漏洞发现 harness（发现底座）的起点，并不是只在公司内部用的工具，而是作为公开项目发放。

Cloudflare公开6阶段安全审计技能：原站入口在新标签页查看原始页面的完整内容

可在 X 上直接查看创作者发布的原帖与互动详情。

security-audit-skill是用来做什么的？

它是一项技能，用来让编程代理执行多阶段安全审计，并得到已按确认、驳回、需验证分类的机器可读发现。