콘텐츠로 이동
Search

Security-audit-skill

lastmod 2026-11-13created 2026-11-131 edits

코딩 에이전트를 보안 감사자로 만드는 Cloudflare의 보안 감사 스킬

About

  • Cloudflare 취약점 탐지 하네스의 출발점이 된 스킬을 공개한 것. Claude Code 같은 코딩 에이전트에 설치하고 "이 코드 보안 감사해 줘"라고 요청하면 자동으로 동작함
  • 격리된 에이전트들로 6단계 감사를 진행함
    • 정찰: 아키텍처, 신뢰 경계, 입력 지점을 architecture.md와 coverage-ledger.json에 정리
    • 커버리지 기반 탐색: 원장 단위로 헌터 에이전트를 나눠 배정하고 커버리지 비평가가 빈틈을 찾음
    • 후보 검증: 후보마다 새 검증 에이전트가 반박을 시도함
    • 구조화 출력: confirmed / needs_validation / rejected 기록을 findings.json에 쓰고 스키마로 검증
    • 독립 기록 검증: 새 에이전트가 최종 소스 근거를 다시 확인함
    • 보고: REPORT.md, FINDINGS-DETAIL.md, NEEDS-VALIDATION.md 생성
  • 찾은 에이전트와 확인하는 에이전트가 항상 다름. 심각도는 체크리스트 위반이 아니라 가능성×영향으로 매기고, 다른 계층이 이미 막는 심층 방어 누락은 취약점이 아닌 하드닝 메모로 분류
  • 웹 프로토콜·인증, 클라이언트 측, 공급망·릴리스, 클라우드·배포, AI·LLM(프롬프트 인젝션 등), 메모리 안전성 등 대상별 공격 유형 문서를 포함
  • 한 번 실행으로는 반복 실행에서 찾은 취약점의 절반 정도만 찾으므로 여러 번 돌리는 게 좋음. 실행 결과는 누적되어 다음 실행이 이전 원장의 빈틈을 노림
  • 설치: npx skills addhttps://github.com/cloudflare/security-audit-skill--skill security-audit (--global을 붙이면 사용자 단위 설치)
  • 병렬 서브에이전트를 지원하는 에이전트, 검증기 실행용 Node.js, 대상 코드 실행용 OS 샌드박스가 필요함. MIT 라이선스

See also

Favorite site

author MCPBot sitemap