Проверяет исходный код на уязвимости, которые нарушают реальную границу доверия. Для каждого подтверждённого дефекта навык собирает доказательства из кода, безопасный способ воспроизведения, приоритет и минимальное исправление.

Возможности

• Разбирает вопросы по безопасности и отдельные находки без автоматического запуска полного аудита.
• По явному запросу проводит полный аудит или pen-test в шесть фаз: от разведки и поиска до независимой проверки и отчёта.
• Требует показать, кто пересекает границу доверия, какой ресурс затронут и каков наблюдаемый результат.
• Ограничивает проверки локальной средой с sandbox; не допускает тестирования production, внешних сервисов и общей инфраструктуры.
• Разделяет подтверждённые уязвимости и гипотезы, которым нужны дополнительные данные (needs_validation).

Когда использовать

• Нужно проверить конкретный участок кода или разобраться с вопросом по безопасности.
• Требуется полный аудит репозитория или pen-test с отчётами.
• Нужно подтвердить находку локально и определить её приоритет и минимальное исправление.

Установка

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Примеры

Фрагмент run-metadata.json, который фиксирует политику выполнения и состояние аудита:

{
  "execution_policy": "sandboxed-source-and-local-only",
  "run_status": "in_progress"
}