security-audit: hacer que un agente de código ejecute una auditoría de seguridad en seis etapas

Para quién

Usa security-audit cuando quieras que el agente de código actual trabaje como auditor de seguridad y complete seis etapas — reconocimiento, caza, validación, informe, salida estructurada, verificación independiente — para hallar vulnerabilidades con impacto real que se puedan explotar. Orquesta varios subagentes paralelos; no te hace pulsar a mano un producto de escaneo no nombrado.

Requisito: el modelo del agente de código debe admitir llamadas a herramientas y subagentes paralelos; la validación de esquema de la quinta etapa también necesita Node.js, para validate-findings.cjs. El material no lista productos de agente; lista requisitos de capacidad, así que no lo trates como exclusivo de un software. La página oficial de la guía es

https://github.com/cloudflare/security-audit-skill

Primera prueba en 3 minutos

El comando oficial de instalación está en el extracto:

npx skills add https://github.com/cloudflare/security-audit-skill  --skill security-audit

Este comando escribe un skill, así que tiene efectos secundarios. Confirma que el entorno actual es el agente de código que usarás para la auditoría y luego ejecuta. Tras instalar, comprueba primero que esta máquina tiene Node.js, porque la quinta etapa lo usa para ejecutar validate-findings.cjs.

No digas de inmediato «pen-test the code» contra un repositorio desconocido. Las peticiones que coinciden con frases disparadoras como security audit, find vulnerabilities y pen-test the code se activan solas. Si no indicas un directorio de salida, preguntará y, por defecto, escribirá en ~/security-audit-skill/<repo-name>/run-<N>. Eso crea archivos bajo el directorio home.

Primera prueba de bajo riesgo: tras una instalación correcta, indica primero un directorio de salida vacío que te pertenezca y pregunta solo «si auditáramos ahora, ¿adónde se escribiría la salida»; no autorices que empiece a cambiar código ni a enviar paquetes hacia fuera. Señal de éxito: el skill está instalado, el agente puede restablecer la regla de ruta de salida por defecto y no ha empezado las seis etapas antes de que confirmes el directorio. Cuando de verdad quieras una auditoría completa, confirma primero el repositorio objetivo y la ruta de salida, luego usa una frase disparadora.

Casos de uso

Caso 1: iniciar una auditoría en un repositorio de código que te pertenece. Termina la instalación oficial, confirma que Node.js está disponible, da un directorio de salida claro y usa una de las frases disparadoras del material. El criterio de cierre: el agente ha entrado en las seis etapas y ha dejado la salida de este run en el directorio indicado. No dejes que la ruta por defecto sobrescriba resultados viejos que no quieres perder. El extracto no escribe comandos internos de cada etapa; no inventes scripts concretos de reconocimiento o caza.

Caso 2: conservar solo hallazgos explotables. El material exige: informa solo problemas que puedas explotar, y cada hallazgo necesita un escenario de ataque concreto, no «un atacante teóricamente podría…». La quinta etapa usa validate-findings.cjs para validar el esquema. Esto limita la salida: ejecuta primero la validación y luego decide qué entradas se quedan. El resumen también dice que la verificación adversaria la debe hacer un agente distinto del descubridor, pero el extracto no escribe un comando para cambiar de agente. El criterio de cierre de este caso es «las entradas tienen escenarios concretos y pasan el esquema», no que ya se haya intercambiado automáticamente un agente verificador.

Límites de uso

Las seis etapas son reconocimiento, caza, validación, informe, salida estructurada y verificación independiente. La salida por defecto es ~/security-audit-skill/<repo-name>/run-<N>. Sin Node.js no terminas la validación de la quinta etapa. Sin llamadas a herramientas y subagentes paralelos no cumples los requisitos de ejecución escritos en el material.

No informes problemas teóricos que no se puedan explotar. No uses la frase disparadora pen-test contra un objetivo no autorizado. El material no da una lista de clientes ni dice cómo saltarse la validación si falta Node.js. Más allá de esta instalación, disparadores, directorio de salida y criterios de informe ya escritos, esta guía no cubre el resto.