security-audit: einen Coding-Agenten eine sechsstufige Sicherheitsprüfung machen lassen

Für wen

Nutze security-audit, wenn der aktuelle Coding-Agent als Sicherheitsprüfer arbeiten und sechs Stufen — Aufklärung, Jagd, Validierung, Bericht, strukturierte Ausgabe, unabhängige Prüfung — durchlaufen soll, um Schwachstellen mit echtem Impact zu finden, die ausnutzbar sind. Es orchestriert mehrere parallele Unteragenten; du klickst kein ungenanntes Scanprodukt von Hand.

Voraussetzung: das Modell des Coding-Agenten muss Tool-Aufrufe und parallele Unteragenten unterstützen; die Schema-Validierung in Stufe fünf braucht außerdem Node.js, für validate-findings.cjs. Das Material listet keine Agentenprodukte, sondern Fähigkeitsanforderungen; behandle das nicht als Exklusivfunktion einer Software. Die offizielle Anleitungsseite ist

https://github.com/cloudflare/security-audit-skill

Ersten Versuch in 3 Minuten abschließen

Der offizielle Installationsbefehl steht im Auszug:

npx skills add https://github.com/cloudflare/security-audit-skill  --skill security-audit

Dieser Befehl schreibt ein skill und hat Nebenwirkungen. Bestätige, dass die aktuelle Umgebung der Coding-Agent für die Prüfung ist, dann ausführen. Nach der Installation zuerst prüfen, dass der Rechner Node.js hat, weil Stufe fünf damit validate-findings.cjs ausführt.

Sage nicht sofort „pen-test the code“ zu einem unbekannten Repository. Anfragen, die Auslöserphrasen wie security audit, find vulnerabilities und pen-test the code treffen, aktivieren automatisch. Gibst du kein Ausgabeverzeichnis an, fragt es nach und schreibt standardmäßig nach ~/security-audit-skill/<repo-name>/run-<N>. Das legt Dateien unter dem Home-Verzeichnis an.

Risikoarmer erster Versuch: nach erfolgreicher Installation zuerst ein leeres Ausgabeverzeichnis angeben, das dir gehört, und nur fragen „wenn jetzt geprüft würde, wohin würde die Ausgabe geschrieben“; keine Freigabe, Code zu ändern oder Pakete nach außen zu senden. Erfolgssignal: das skill ist installiert, der Agent kann die Standard-Ausgabepfadregel wiederholen und hat die sechs Stufen vor der Verzeichnisbestätigung nicht begonnen. Für eine volle Prüfung zuerst Ziel-Repository und Ausgabepfad bestätigen, dann eine Auslöserphrase nutzen.

Anwendungsfälle

Fall 1: Eine Prüfung auf einem Code-Repository starten, das dir gehört. Offizielle Installation abschließen, Node.js bestätigen, ein klares Ausgabeverzeichnis nennen, dann eine der Auslöserphrasen aus dem Material nutzen. Fertig heißt: der Agent ist in die sechs Stufen eingetreten und hat die Ausgabe dieses run im angegebenen Verzeichnis hinterlassen. Den Standardpfad nicht alte Ergebnisse überschreiben lassen, die du behalten willst. Der Auszug schreibt keine internen Befehle je Stufe; erfinde keine konkreten Aufklärungs- oder Jagdscripte.

Fall 2: Nur ausnutzbare Funde behalten. Das Material verlangt: nur Probleme berichten, die du ausnutzen kannst, und jeder Fund braucht ein konkretes Angriffsszenario, nicht „ein Angreifer könnte theoretisch…“. Stufe fünf nutzt validate-findings.cjs für die Schema-Validierung. Das begrenzt die Ausgabe: zuerst validieren, dann entscheiden, welche Einträge bleiben. Die Zusammenfassung sagt außerdem, die gegnerische Prüfung solle ein anderer Agent als der Finder machen, aber der Auszug schreibt keinen Befehl zum Agentenwechsel. Fertig ist dieser Fall bei „Einträge haben konkrete Szenarien und bestehen das Schema“, nicht wenn schon automatisch ein Prüfagent getauscht wurde.

Nutzungsgrenzen

Die sechs Stufen sind Aufklärung, Jagd, Validierung, Bericht, strukturierte Ausgabe und unabhängige Prüfung. Standardausgabe ist ~/security-audit-skill/<repo-name>/run-<N>. Ohne Node.js endet die Validierung der fünften Stufe nicht. Ohne Tool-Aufrufe und parallele Unteragenten erfüllst du die im Material geschriebenen Laufzeitanforderungen nicht.

Berichte keine theoretischen Probleme, die nicht ausnutzbar sind. Nutze die pen-test-Auslöserphrase nicht gegen ein nicht autorisiertes Ziel. Das Material gibt keine Client-Liste und sagt nicht, wie Validierung ohne Node.js übersprungen wird. Jenseits dieser geschriebenen Installation, Auslöser, Ausgabeverzeichnisse und Berichtsstandards deckt diese Anleitung nichts ab.