推文

@wangxiaoxin88 · 2026-10-16 00:37

试了一圈才发现，Cloudflare 居然把自家内部那套挖漏洞的流程，打包成了一个 Skill，名字就叫 security-audit。 装到编码 Agent 里之后，是让它真刀真枪对着自己的仓库跑一遍，而不是轻飘飘问一句“这代码有没有漏洞”就完事。 更有意思的是，负责找漏洞的那个 Agent，没资格给自己的发现签字画押，得再拉一个全新的 Agent 出来专门挑刺、证伪。 最后落到纸面上的结论就三种：确认、待核实、已排除。 凡是挂上“待核实”的，必须写清楚卡在哪条事实上，而且不给标严重度。像那种少了一层防护、但另一层其实已经拦住的，只当作加固建议记一笔。 用起来也简单，一句 security audit this codebase 就行。他们自己实测过，单独跑一轮大概只能覆盖多轮合计的一半，多跑几轮会不断往覆盖账本上叠加。 🔗https://github.com/cloudflare/security-audit-skill

曝光 267 · 评论 5 · 点赞 2 · 书签 2 · 曝光/时 9.99442895260915