Cloudflare 把内部挖漏洞的那套流水线开源成了一个 skill，当天 GitHub 加星 2700+，它干的事是：把你的 coding agent … · @ai_super_niko · TwKit

@ai_super_niko

Cloudflare 把内部挖漏洞的那套流水线开源成了一个 skill，当天 GitHub 加星 2700+，它干的事是：把你的 coding agent 变成审计员。 六阶段：侦察 → 按覆盖率驱动的狩猎 → 候选验证 → 结构化输出 → 独立记录核验 → 中性报告。 最值钱的不是阶段数，是那条铁律：发现问题的 agent，永远不能是验证它的 agent。判定只有三种——confirmed 要有完整源码证据链，needs_validation 写清未解事实且不给严重性，rejected 记录被证伪的过程。 还有个反直觉数据：他们的测试里，单次运行只找到「多次运行累计」约一半的漏洞。所以覆盖账本是累加的，第二遍专打缺口。 装法一句话：Skills CLI 装 cloudflare/security-audit-skill，然后让 agent 跑一句 security audit this codebase。 多数团队用 AI 做安全审计翻车，不是模型不会找，是没人做证伪。这道工序现在被写进流程里了。

曝光 11 · 评论 0 · 点赞 0 · 书签 2