security-audit-skill 可以免费使用吗？用的什么许可证？

security-audit-skill 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。

security-audit-skill 还在维护吗？

半年内有更新。security-audit-skill 最近一次提交是在 2026年9月14日。

security-audit-skill 适合用来做什么？

借助编码智能体对代码库进行结构化安全审查审计基于大模型的应用，排查提示注入和工具滥用对同一仓库多次审计，补齐先前遗漏的覆盖面生成机器可读的漏洞记录，供后续分拣处理

security-audit-skill 怎么安装和运行？

使用 Skills CLI 安装该技能: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit 可选：安装为用户级别，供所有项目使用: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global 在目标代码库中启动编码代理并请求安全审计: security audit this codebase

在哪里获取 security-audit-skill？

源代码和安装说明在 GitHub 上：https://github.com/cloudflare/security-audit-skill

cloudflare/security-audit-skill

一个供编码智能体使用的技能，引导智能体完成多阶段安全审计，输出经独立验证、机器可读的审计结果。

在 GitHub 查看

Star: 31,021
Fork: 1,947
未关闭 Issue: 66
最近提交: 上个月

这是什么？

security-audit 是一个供编码智能体使用的技能，可以让智能体化身安全审计员。审计分为六个阶段：先梳理架构、信任边界和输入面；再由彼此隔离的子智能体按覆盖账本进行定向排查；随后由全新的验证者尝试推翻每一条候选问题；结果按 confirmed、needs_validation、rejected 三类结构化输出；最终的源码论断还会由独立智能体复核；最后基于已验证的记录生成报告文件。

技能内附多份攻击类别提示文件，涵盖内存安全、基于大模型的目标、Web 协议与认证、前端代码、供应链与 CI、云部署、RPC 与消息通信，以及桌面和移动端 IPC 等领域。审计结果由两个无依赖的 Node.js 校验脚本依据 JSON Schema 检查，覆盖账本则记录哪些代码单元已被检视。对同一仓库的多次运行会累加结果，并优先针对之前遗漏的部分。

该项目由 Cloudflare 维护，是其博客中所述漏洞发现工具的起点。目标代码的构建和测试应在禁止外部网络的操作系统级沙箱中运行。

核心功能

01从侦察到报告的六阶段审计流程
02由确定性覆盖账本引导的隔离排查智能体
03由对抗式验证者尝试推翻每条候选漏洞
04通过无依赖 Node.js 脚本依据 JSON Schema 校验审计结果
05针对原生程序、Web、云、大模型和前端等目标的攻击类别提示库

适用场景

借助编码智能体对代码库进行结构化安全审查
审计基于大模型的应用，排查提示注入和工具滥用
对同一仓库多次审计，补齐先前遗漏的覆盖面
生成机器可读的漏洞记录，供后续分拣处理

快速上手

1
使用 Skills CLI 安装该技能
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
2
可选：安装为用户级别，供所有项目使用
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global
3
在目标代码库中启动编码代理并请求安全审计
security audit this codebase

使用前须知

完整审计需要操作系统级沙箱来运行目标代码，否则候选项只能保持为 needs_validation。
需要支持工具调用和并行子代理的编码代理，并需要 Node.js 运行验证器。

常见问题

security-audit-skill 是什么？: 一个供编码智能体使用的技能，引导智能体完成多阶段安全审计，输出经独立验证、机器可读的审计结果。 security-audit 是一个供编码智能体使用的技能，可以让智能体化身安全审计员。审计分为六个阶段：先梳理架构、信任边界和输入面；再由彼此隔离的子智能体按覆盖账本进行定向排查；随后由全新的验证者尝试推翻每一条候选问题；结果按 confirmed、needs_validation、rejected 三类结构化输出；最终的源码论断还会由独立智能体复核；最后基于已验证的记录生成报告文件。
security-audit-skill 可以免费使用吗？用的什么许可证？: security-audit-skill 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。
security-audit-skill 还在维护吗？: 半年内有更新。security-audit-skill 最近一次提交是在 2026年9月14日。
security-audit-skill 适合用来做什么？: 借助编码智能体对代码库进行结构化安全审查审计基于大模型的应用，排查提示注入和工具滥用对同一仓库多次审计，补齐先前遗漏的覆盖面生成机器可读的漏洞记录，供后续分拣处理
security-audit-skill 怎么安装和运行？: 使用 Skills CLI 安装该技能: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit 可选：安装为用户级别，供所有项目使用: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global 在目标代码库中启动编码代理并请求安全审计: security audit this codebase
在哪里获取 security-audit-skill？: 源代码和安装说明在 GitHub 上：https://github.com/cloudflare/security-audit-skill

概要由 AI 根据项目 README 生成；GitHub 数据每日更新。