Repolode
Enviar
cloudflare

cloudflare/security-audit-skill

Una skill para agentes de programación que guía a un agente de IA en una auditoría de seguridad por fases, con hallazgos verificables de forma independiente y legibles por máquina.

Ver en GitHub
Estrellas
31,021
Forks
1,947
Issues abiertos
66
Último commit
el mes pasado

¿Qué es?

security-audit es una skill para agentes de programación que convierte al agente en un auditor de seguridad. Ejecuta una auditoría en seis fases: reconocimiento de la arquitectura, los límites de confianza y las superficies de entrada; búsqueda guiada por la cobertura mediante subagentes aislados; validación adversarial en la que un verificador nuevo intenta refutar cada hallazgo candidato; salida estructurada en registros confirmados, pendientes de validación y rechazados; verificación independiente de las afirmaciones finales sobre el código fuente; y generación de archivos de informe a partir de los registros verificados.

La skill incluye archivos de prompts por clase de ataque que abarcan áreas como seguridad de memoria, objetivos basados en LLM, protocolos web y autenticación, código del lado del cliente, cadena de suministro y CI, despliegue en la nube, RPC y mensajería, e IPC para escritorio o dispositivos móviles. Dos validadores de Node.js sin dependencias comprueban los hallazgos con un JSON schema, y un registro de cobertura lleva la cuenta de las unidades de código examinadas. Las ejecuciones repetidas en el mismo repositorio son aditivas y se enfocan en las brechas detectadas anteriormente.

Cloudflare mantiene el proyecto, que sirve como punto de partida para el arnés de descubrimiento de vulnerabilidades descrito en su publicación del blog. Se espera que las compilaciones y pruebas controladas por el objetivo se ejecuten dentro de un sandbox a nivel de sistema operativo, sin conexión a redes externas.

Funciones clave

  • 01Flujo de auditoría en seis fases, desde el reconocimiento hasta la generación de informes independientes del objetivo
  • 02Agentes de búsqueda aislados, guiados por un registro de cobertura determinista
  • 03Verificadores adversariales que intentan refutar cada hallazgo candidato
  • 04Hallazgos validados con un JSON schema mediante scripts de Node.js sin dependencias
  • 05Bibliotecas de prompts por clase de ataque para objetivos nativos, web, en la nube, basados en LLM y del lado del cliente

Casos de uso

  • Realizar una revisión de seguridad estructurada de un código base con un agente de programación
  • Auditar una aplicación basada en LLM para detectar prompt injection y uso indebido de herramientas
  • Repetir auditorías en un repositorio para cubrir brechas que quedaron en ejecuciones anteriores
  • Generar registros de vulnerabilidades legibles por máquina para su clasificación posterior

Temas

#security#security-audit#coding-agent#vulnerability-detection#ai-agent#code-review#json-schema

Preguntas frecuentes

¿Qué es security-audit-skill?
Una skill para agentes de programación que guía a un agente de IA en una auditoría de seguridad por fases, con hallazgos verificables de forma independiente y legibles por máquina. security-audit es una skill para agentes de programación que convierte al agente en un auditor de seguridad. Ejecuta una auditoría en seis fases: reconocimiento de la arquitectura, los límites de confianza y las superficies de entrada; búsqueda guiada por la cobertura mediante subagentes aislados; validación adversarial en la que un verificador nuevo intenta refutar cada hallazgo candidato; salida estructurada en registros confirmados, pendientes de validación y rechazados; verificación independiente de las afirmaciones finales sobre el código fuente; y generación de archivos de informe a partir de los registros verificados.
¿security-audit-skill es gratuito? ¿Qué licencia tiene?
security-audit-skill es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿security-audit-skill sigue mantenido?
Actualizado en los últimos 6 meses. El último commit de security-audit-skill fue el 14 sept 2026.
¿Para qué puedo usar security-audit-skill?
Realizar una revisión de seguridad estructurada de un código base con un agente de programación Auditar una aplicación basada en LLM para detectar prompt injection y uso indebido de herramientas Repetir auditorías en un repositorio para cubrir brechas que quedaron en ejecuciones anteriores Generar registros de vulnerabilidades legibles por máquina para su clasificación posterior
¿Dónde consigo security-audit-skill?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/cloudflare/security-audit-skill

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados