Mindket
简体中文
English简体中文
登录注册
商店MCP技能计算器学习价格博客
发现
研究312写作59商务95法律13财务33营销175开发1,422效率391教育81陪伴14
帮助与支持
语言
English简体中文

Cloudflare security-audit 技能

由 cloudflare 制作技能开发
新上架第 2 版 · 更新于
GITHUB 热门2本月第 2 名仓库
星标72k
点赞

概览

Cloudflare security-audit 技能，图片 1
‹1 / 3›
Cloudflare security-audit 技能，图片 2
‹2 / 3›
Cloudflare security-audit 技能，图片 3
‹3 / 3›

Cloudflare 的编程智能体技能，对你的代码库做六个阶段的安全审计。每条线索都由一个新的智能体尝试推翻，每项发现都写进经过 schema 校验的 findings.json，标为已确认、待验证或已否决。

Cloudflare security-audit 技能 是一款 GitHub 上的开源项目，属于开发类，由 Mindket 上架。可免费获取。当前为第 2 版，最近更新于 。按它的 README 从 GitHub 安装。Mindket 的设置说明可在你的 Mindket 账户获取，以 zip 压缩包下载。

速览

用在
  • 你的编程智能体：模型支持工具调用和并行子智能体的都行
  • skills 安装器：它会找出你电脑上的智能体，问你要把技能装给哪一个
  • 你的代码库：一个服务、库或 CLI，从源码读起
  • 沙箱：只在要运行目标代码的步骤里需要，比如构建、测试和模糊测试
先运行
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

平台

电脑可在其上运行

关于

它是什么

security-audit 是 Cloudflare 做的技能，把编程智能体变成安全审计员。它让彼此隔离的智能体走完六个阶段，发现线索的智能体从不自己确认这条线索，而是先由一个新的验证者尝试推翻它。Cloudflare 说，它内部用来发现漏洞的系统就是从这个技能起步的，后来扩展成在整个公司范围运行的多阶段体系。这个仓库里放的是针对单个仓库的起步版本。

  1. 侦察阶段梳理架构和信任边界
  2. 排查者按覆盖台账逐项排查
  3. 一个新的验证者尝试推翻每条候选线索
  4. 记录写入 findings.json，并按 schema 校验
  5. 新的智能体核实每条最终的源码论断
  6. 根据核实过的记录生成报告

适合谁

负责某个服务、库或 CLI，并想让自己已经在用的智能体做一次结构化审计的开发者和安全工程师。没有专职安全人员的小团队能得到一套方法，把已经证实的问题和仅仅是怀疑的问题分开。

谁在用，怎么用
行业谁在用怎么用例子
软件与 SaaS创业公司和小团队的工程师上线前审计一个服务，先处理已确认的发现创业公司的工程师在上线前审计一个 API，先修复已确认的发现。
开源库的维护者每次发布后再跑一次，让新一轮瞄准上一轮留下的空白维护者在发布新版本后再跑一次，第二次运行专门瞄准第一份台账留下的空白。
AI 产品正在做 LLM 功能的团队让智能体去查工具调用代码，这部分有一份排查手册专门覆盖提示词注入和输出处理团队在功能上线前，让智能体去查自己的工具调用代码。
安全咨询顾问在客户许可阅读的代码上运行，把未解决的线索交出去作为测试计划顾问把待验证清单变成一份沙箱测试计划。

如果你要测试的是线上系统，可以不用它：它只读源码，从不探测已部署的端点。

用在哪里

Cloudflare 没有点名任何产品。满足下面这些条件的地方都能用：

  • 你的编程智能体：模型支持工具调用和并行子智能体的都行
  • skills 安装器：它会找出你电脑上的智能体，问你要把技能装给哪一个
  • 你的代码库：一个服务、库或 CLI，从源码读起
  • 沙箱：只在要运行目标代码的步骤里需要，比如构建、测试和模糊测试
它的排查手册覆盖哪些方面
方面手册主题
Web 与客户端Web 协议与身份验证、客户端代码
服务RPC 与消息、资源耗尽、数据隔离
基础设施云端与部署、供应链与发布
原生与本地代码内存安全，桌面、移动端与本地 IPC
AIAI 与 LLM 目标，包括基于 LLM 的应用

如何设置

点“获取”会把一个 zip 压缩包存进你的下载文件夹，里面是 Mindket 整理的安装说明，附有 Cloudflare README 中的安装命令。安装会加入一个技能 security-audit：SKILL.md、另外 14 份 Markdown 排查手册、report-schema.json，以及两个零依赖的 Node 校验脚本。

先准备好这些
需要说明
一个编程智能体它的模型要支持工具调用和并行子智能体
Node.js两个校验脚本要用。skills 安装器要求 Node.js 22.20 或更高版本
一个由操作系统强制隔离的沙箱只在要运行目标代码时才需要，见第 4 步
  1. 打开终端，运行下面的安装命令。
  2. 安装器询问时，选择要把技能装给哪个智能体。
  3. 想装到用户级而不是项目级，就加上 --global。
  4. 在运行任何目标代码之前，先准备一个由操作系统强制隔离、关闭外部网络的沙箱。
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

想指定智能体，或者让安装过程什么都不问，README 让你去看安装器的帮助。

npx skills --help

如何使用

在要审计的代码库里启动智能体，或者让它指向那里，然后用平常的话提出请求。遇到相符的请求，技能会自动启动，你的请求决定它进入哪种模式。

它的两种模式
模式什么时候进入写出什么
完整审计你要求对代码做审计或渗透测试，或者要求生成报告文件输出文件夹里的报告文件
指导你问一个安全问题，或者要做针对性的漏洞排查不写任何文件

README 里的一句普通请求：

find security vulnerabilities in ./src

想指定输出文件夹，就在请求里写明。

do a security review, output to ~/audits/my-project

示例

在你维护的一个 Web 服务里，你要求做完整审计，让智能体把六个阶段逐个跑完。

security audit this codebase

没有指定文件夹时，结果放在 ~/security-audit-skill/<repo-name>/run-<N>。每条记录都写进 findings.json，按 report-schema.json 校验，旁边附有一份覆盖台账。之后根据核实过的记录生成 REPORT.md、FINDINGS-DETAIL.md 和 NEEDS-VALIDATION.md。每条记录都带有三种状态之一。

一条记录可能是什么状态
状态包含什么
confirmed完整的源码追踪和一个界定清楚的观察结果
needs_validation还缺的那一个确切事实，不标严重程度
rejected没站住的线索，仍留在记录里

新手与专家

新手：安全审计要找的，是别人可能滥用你代码的途径。这个技能让你的智能体像审计员一样工作，每个疑似问题都要先由第二个全新的智能体设法驳倒，驳不倒才算数。先从指导模式开始，问一个问题，比如某个路由怎么处理异常输入。

专家：定严重程度要有实际影响作依据，按可能性乘以影响来算，而不是看清单上漏了哪一项。第一道防线守得住时，后面缺了第二道，只算加固建议，不算漏洞。两个零依赖的校验脚本会在每次更新后检查 coverage-ledger.json 和 findings.json。多次运行会累积：后一次会复用之前的台账和发现，瞄准空白，并重新验证改过的源码。在 Cloudflare 的测试中，单次运行找到的问题约为多次重复运行总共找到的一半。

注意事项

它只读代码，并且远离一切线上的东西。

  • 读取源码：只读不写
  • 禁区：已部署的端点、外部服务和生产环境身份，改用虚拟的身份主体和密钥
  • 沙箱：除了关闭外部网络，还要环境经过清理且只放行白名单、有资源限制、只能写到临时路径。没有这样的沙箱时，线索会停在 needs_validation
  • 你的仓库：只有当你在仓库里选了一个被版本控制忽略的文件夹时，才会往里写文件
  • 模型提供商：和任何智能体会话一样，智能体读到的代码会发给它
  • 使用数据：skills 安装器会发送匿名使用数据，除非设置了 DISABLE_TELEMETRY=1 或 DO_NOT_TRACK=1
  • 许可证：MIT

README 和文件

README
# Cloudflare security-audit 技能：安装说明

这个工具包里是 Mindket 写的安装说明，不含技能本身。技能要从 Cloudflare 的仓库安装，地址是 https://github.com/cloudflare/security-audit-skill

许可证：MIT，Copyright (c) 2025-2026 Cloudflare, Inc. 来源见 https://github.com/cloudflare/security-audit-skill/blob/main/LICENSE

## 工具包里的文件

- README.md：本页
- setup/coding-agent.md：Cloudflare README 里的安装命令和示例提示词

## 安装的内容

出处是 README 的 Files 部分，见 https://github.com/cloudflare/security-audit-skill

安装命令会从这个仓库的 skills/security-audit 文件夹装入一个技能，名为 security-audit：

- SKILL.md：设置、原则、术语、工作流程概览和反模式
- 另外 14 份 Markdown 操作手册，包括 RECONNAISSANCE.md、HUNTING.md、ATTACK-CLASSES.md、VALIDATION-AND-REPORTING.md，以及按主题分的文件。主题有内存安全、AI 和 LLM 目标、Web 协议和认证、客户端代码、供应链和发布、云和部署、RPC 和消息、资源耗尽、数据隔离，以及桌面、移动端和本地 IPC
- report-schema.json：findings.json 里各条记录的 schema
- validate-findings.cjs 和 validate-coverage-ledger.cjs：两个没有任何依赖的 Node 校验脚本，各配一个测试文件

## 事先需要准备

出处是 README 的 Requirements 部分，见 https://github.com/cloudflare/security-audit-skill

- 一个编程智能体，它的模型要支持工具调用和并行子智能体
- Node.js，用来运行那两个校验脚本
- Node.js 22.20 或更高版本，给运行安装命令的 skills CLI 用。出处是 https://github.com/vercel-labs/skills 上它的 README，以及 https://registry.npmjs.org/skills/latest 中的 engines 字段
- 任何目标代码运行之前，先准备一个由操作系统强制隔离的沙箱：关闭外部网络，环境经过清理且按白名单放行，限制资源，只能写入分配好的临时路径。没有这样的沙箱，线索会停在 needs_validation，目标代码也不会运行。

## 更新或卸载

Cloudflare 的 README 没有写怎么更新或卸载这个技能。它用 https://skills.sh 的 skills CLI 安装技能，并给出下面这条命令，用来查看选择智能体和非交互运行的选项：

```
npx skills --help
```

在 https://github.com/vercel-labs/skills 上，skills CLI 自己的 README 列出了查看、检查、更新和卸载已装技能的命令。这个技能的名字是 security-audit。

## 使用数据

据 https://github.com/vercel-labs/skills 上 skills CLI 的 README，这个 CLI 会收集匿名使用数据。设置 DISABLE_TELEMETRY=1 或 DO_NOT_TRACK=1，可以关闭遥测和 security-audit 请求。
文件
README.md  3 KB
setup/coding-agent.md  2 KB

2 个文件，共 5 KB，以 zip 压缩包下载。

更新内容

  • 第 2 版 · 2026-11-09

    Updated by Mindket to the current version of this kit.

  • 第 1 版 · 2026-11-03

评价

还没有评分

写评价

还没有评价。

大家怎么说

Hacker News、Bluesky、X、Reddit、Facebook 和 YouTube 上提到这个项目的帖子和评论，来自每周一次的搜索和 Trendshift。它们不是 Mindket 写的，也未经核实，点开即可在原帖处阅读。

donk8rCloudflare/Security-Audit-Skill213 分 · 38 条回复midudev · Miguel Ángel DuránCloudflare tiene de código abierto su Skill para encontrar vulnerabilidades en tu proyecto. Lo que hace paso a paso: ① Revisa tu código ② Encuentra todos los bugs ③ Envía lo que encuentra a un agente de IA ④ Crea el informe, verifica y escribe un reporte final → github.com/cloudflare/s...9 赞lfxVulnHunter: Capital One's agentic AI code security toolThere are few more: https://github.com/visa/visa-vulnerability-agentic-harness https://github.com/cloudflare/security-audit-skill I'm on the fence here, for one as from recent Linux mailing discussions those tools can really find good bugs (51% of them?), but on other side - I'm afraid of false…🚀 olud.ai📈 cloudflare/security-audit-skill jumped +6,376 stars in 24h — a coding-agent skill for multi-phase security audits. With 65.6k total, it's the fastest-growing open-source AI today. https://olud.ai/project/cloudflare-security-audit-skill.html #OpenSource #AI #GitHub5 赞 · 2 条回复Ming Tommy TangIf you are a vibe coder like me. Use this cloudflare auditing skill to audit your web application github.com/cloudflare/... #AI #vibecoding You do not know what you do not know. Knowing security and this recipe will help you harden your app.6 赞 · 1 条回复Edy | Indie BuilderToday's GitHub trending: reusable skills for coding agents - cloudflare/security-audit-skill: phased audits (+2,548 today) - NVIDIA/auto-ontology: semantic graph for agents (+2,015) - google/skills: Google tech agent skills (+534) github.com/cloudflare/s... #buildinpublic #AI5 赞 · 1 条回复EchobitCool.6 赞@yourdailyoss.bsky.socialCloudflare's security audit skill picked up 2,088 stars in one day—the entire AI agent ecosystem is accelerating. Which skill are you plugging into your agent first?3 赞 · 2 条回复GitHub Trending📈 Today's GitHub Trending: 1. https://github.com/vercel-labs/agent-browser - Rust, 180 stars today 2. https://github.com/cloudflare/security-audit-skill - JavaScript, 2088 stars today 3. https://github.com/google/skills - Python, 449 stars today 4. https://github.com/mattpocock/skills - Shell […]3 赞 · 1 条回复@hydromo.bsky.socialGitHub weekly trending Top 10 (Oct 31) 1 hallmark · 2 security-audit-skill · 3 claude-seo · 4 impeccable · 5 superpowers · 6 andrej-karpathy-skills · 7 TradingAgents · 8 jakubkrehel/skills · 9 taste-skill · 10 t3code Use cases and links are on the cards. https://github.com/trending?since=weekly1 赞 · 2 条回复IT-ConnectCloudflare a récemment publié une skill open source nommée security-audit conçue pour mener un véritable audit de sécurité de votre code source, avec une méthode, des preuves et un rapport exploitable. Le tuto ici 👇 - www.it-connect.fr/cloudflare-s... #ia #cloudflare #cybersecurite2 赞@hydromo.bsky.social이번 주(10/31 기준) GitHub 트렌딩 TOP10 1 hallmark · 2 security-audit-skill · 3 claude-seo · 4 impeccable · 5 superpowers · 6 andrej-karpathy-skills · 7 TradingAgents(투자 조언 아님) · 8 jakubkrehel/skills · 9 taste-skill · 10 t3code 활용 한 줄과 링크 10개는 카드에 정리했습니다. https://github.com/trending?since=weekly1 赞 · 1 条回复

搜索日期

Mindket 的更多商品

查看 Mindket 的全部商品

anaksor-ocr

Sokheng · 工具包

这个模型从文档、收据和路牌照片里读取高棉语和英语文字，用一个检测器找文本行，再用识别器读每一行。适合需要在 Python 里做高棉语 OCR 的开发者。

新上架

Qwen2.5-7B-Instruct-GGUF

Qwen · 工具包

Qwen2.5-7B-Instruct 的 GGUF 文件，提供八种量化大小，可通过 llama.cpp 在本地聊天。适合想在自己电脑上用 7.6B 强力模型、又不想搭 Python 环境的人。

新上架

ACE-Step 1.5 XL SFT

ACE-Step · 工具包

用 4B 扩散解码器根据文字生成音乐，50 步并带引导控制，音频质量高于基础版。适合拥有 12 GB 或更多显存 GPU 的创作者。

新上架

开发类的相似商品

查看开发类的全部商品

Claude Code Skills & Plugins

alirezarezvani · 技能

为 Claude Code 和其他编程智能体提供 411 个现成技能，按角色分组，从工程、产品到营销、财务和合规。以插件方式安装。适合开发者和业务团队。

新上架29.8k

buzz

block · 工具包

可自行托管的工作空间，人和 AI 智能体在同样的房间里协作，基于 Nostr 中继，把每个动作记录为签名事件。适合想自己运行中继的团队。

新上架37.3k

plannotator

backnotprop · 工具包

把你的 AI 编程智能体的计划、规格和代码改动在浏览器里打开，让你加批注或评论，并把反馈直接发回给智能体。

新上架10.5k