security-audit: جعل وكيل الترميز ينفّذ تدقيقًا أمنيًا من ست مراحل

لمن يناسب

استخدم security-audit عندما تريد أن يعمل وكيل الترميز الحالي كمراجع أمني ويكمل ست مراحل — الاستطلاع، الصيد، التحقق، التقرير، الإخراج المنظَّم، التحقق المستقل — لإيجاد ثغرات ذات أثر حقيقي وقابلة للاستغلال. ينسّق عدة وكلاء فرعيين متوازيين؛ لا يجعلك تنقر يدويًا منتج فحص غير مسمّى.

الشرط المسبق: يجب أن يدعم نموذج وكيل الترميز استدعاء الأدوات والوكلاء الفرعيين المتوازيين؛ يحتاج التحقق من المخطط في المرحلة الخامسة أيضًا إلى Node.js، عبر validate-findings.cjs. لا تقدم المادة قائمة بمنتجات وكلاء؛ تسرد متطلبات قدرات، فلا تعتبره حكرًا على برنامج بعينه. صفحة الدليل الرسمية هي

https://github.com/cloudflare/security-audit-skill

أكمل أول محاولة في 3 دقائق

أمر التثبيت الرسمي موجود في المقتطف:

npx skills add https://github.com/cloudflare/security-audit-skill  --skill security-audit

يكتب هذا الأمر skill، فله آثار جانبية. أكّد أن البيئة الحالية هي وكيل الترميز الذي ستستخدمه للتدقيق ثم نفّذ. بعد التثبيت تحقق أولاً من وجود Node.js على الجهاز، لأن المرحلة الخامسة تستخدمه لتشغيل validate-findings.cjs.

لا تقل فورًا «pen-test the code» ضد مستودع مجهول. الطلبات التي تطابق عبارات التشغيل مثل security audit و find vulnerabilities و pen-test the code تُفعَّل تلقائيًا. إن لم تحدد دليل إخراج فسيسأل، والافتراضي هو الكتابة إلى ~/security-audit-skill/<repo-name>/run-<N>. ينشئ ذلك ملفات تحت دليل المنزل.

أول محاولة منخفضة المخاطر: بعد نجاح التثبيت حدّد أولاً دليل إخراج فارغًا تملكه، واسأل فقط «إن دقّقنا الآن فأين ستُكتب المخرجات»؛ لا تأذن له ببدء تغيير الشفرة أو إرسال حزم للخارج. إشارة النجاح: ثُبّت الـ skill، ويستطيع الوكيل إعادة قاعدة مسار الإخراج الافتراضي، ولم يبدأ المراحل الست قبل تأكيد الدليل. عندما تريد تدقيقًا كاملاً حقًا، أكّد أولاً المستودع المستهدف ومسار الإخراج ثم استخدم عبارة تشغيل.

حالات الاستخدام

الحالة الأولى: بدء تدقيق على مستودع شفرة تملكه. أكمل التثبيت الرسمي، وتأكد من توفر Node.js، وأعطِ دليل إخراج واضحًا، ثم استخدم إحدى عبارات التشغيل في المادة. معيار الإكمال: دخل الوكيل المراحل الست وترك مخرجات هذا الـ run في الدليل المحدد. لا تدع المسار الافتراضي يستبدل نتائج قديمة لا تريد الاحتفاظ بها. لا يكتب المقتطف الأوامر الداخلية لكل مرحلة، فلا تخترع سكربتات استطلاع أو صيد محددة.

الحالة الثانية: الإبقاء على الاكتشافات القابلة للاستغلال فقط. تتطلب المادة: بلّغ فقط عن المشكلات التي تستطيع استغلالها، ويجب أن يكون لكل اكتشاف سيناريو هجوم محدد، لا «يمكن للمهاجم نظريًا…». تستخدم المرحلة الخامسة validate-findings.cjs للتحقق من المخطط. هذا قيد على المخرجات: شغّل التحقق أولاً ثم قرر أي بنود تبقى. يذكر الملخص أيضًا أن التحقق الخصومي يجب أن يقوم به وكيل غير المكتشف، لكن المقتطف لا يكتب أمر تبديل الوكيل. معيار إكمال هذه الحالة هو «البنود تحمل سيناريوهات محددة وتجتاز المخطط»، لا أن وكيل تحقق قد استُبدل تلقائيًا.

حدود الاستخدام

المراحل الست هي الاستطلاع والصيد والتحقق والتقرير والإخراج المنظَّم والتحقق المستقل. الإخراج الافتراضي هو ~/security-audit-skill/<repo-name>/run-<N>. بدون Node.js لا تُكمل تحقق المرحلة الخامسة. بدون استدعاء الأدوات والوكلاء الفرعيين المتوازيين لا تبلغ متطلبات التشغيل المكتوبة في المادة.

لا تبلّغ عن مشكلات نظرية غير قابلة للاستغلال. لا تستخدم عبارة تشغيل pen-test ضد هدف غير مصرّح. لا تعطي المادة قائمة عملاء ولا كيفية تخطي التحقق عند غياب Node.js. ما يتجاوز معايير التثبيت والتشغيل ودليل الإخراج والتقرير المكتوبة هنا خارج تغطية هذا الدليل.