security-audit-skill

security-audit-skill 是 Cloudflare 开源的代理技能（Agent Skill），能把 Claude Code、Codex 等编码代理变成一个多阶段的安全审计员。

流程包括侦察、漏洞挖掘和对抗式验证：每个疑似漏洞都会交给一个全新的代理去尝试推翻，只有经得起推翻的才会以机器可读格式报告出来。Cloudflare 表示这个 Skill 是其内部全量漏洞审计系统的雏形。

本轮信号：

• 2026-11-07 登上 GitHub 日榜第一（当天约 +2,548 星，总计约 6.48 万星）；
• 许可证：MIT；
• 仓库：https://github.com/cloudflare/security-audit-skill

为什么值得关注

AI 代理写代码越来越快，但安全审查跟不上。它的核心思路是职责分离：验证发现的代理永远不是找出发现的那个代理，这能明显减少大模型安全扫描常见的误报。

限制

• 审计耗时较长，有用户反馈 token 消耗很大；
• 结果仍是需要确认的疑似问题，不等于安全保证；
• 注意与同名的其他仓库（如 netresearch/security-audit-skill）区分。

1. 用 skills 命令行把它装进你的代理，例如 npx skills add cloudflare/security-audit-skill（以仓库 README 中的最新命令为准）；
2. 确认代理能列出这个 Skill（如 skills list）；
3. 在项目里让代理调用该 Skill 执行安全审计；
4. 查看经过验证、机器可读的发现，逐条修复或分类；
5. 注意 token 预算，先在重点目录上小范围运行。