让 agent 帮忙查安全漏洞，最烦的是它一口气报十几条"高危"，挨个点进去一看，一大半是它自己脑补的。 Cloudflare 把内部漏洞挖掘系统最早那版的… · @Curingieul · TwKit

@Curingieul

让 agent 帮忙查安全漏洞，最烦的是它一口气报十几条"高危"，挨个点进去一看，一大半是它自己脑补的。 Cloudflare 把内部漏洞挖掘系统最早那版的 skill 开源了，叫 security-audit，Claude Code 这类能开子 agent 的编码工具都能装。思路很简单，找漏洞的 agent 和验漏洞的 agent 永远不是同一个，后者的活就是想办法证明前者错了。 GitHub 上快 5.5 万星，这一周涨了 1.2 万多，周榜前排。 README 里我觉得比较有用的： 1. 分六个阶段跑，先摸清架构和信任边界、记一本覆盖账本，再派互相隔离的 agent 按单元去找 2. 结果分三档，确认的、待验证的、被推翻的，待验证的不给严重等级，不会拿猜测吓人 3. 按攻击面分了专门的打法文件，像提示词注入和 agent 工具调用、供应链和 CI、云上 IAM、多租户数据隔离都有 4. 同一个仓库可以反复跑，会接着上次的账本补漏。他们自己测下来，跑一次大概只找到多次跑总数的一半 装法是 npx skills add 加仓库地址，然后在项目里跟 agent 说一句 security audit this codebase 就行。要 Node.js，MIT 协议。 README 里提的前提：要真去跑目标代码的话，得有断网、限资源的沙箱，没有的话它只标成待验证，不会去执行。 https://github.com/cloudflare/security-audit-skill

曝光 16 · 评论 0 · 点赞 0 · 书签 0