security-audit: fazer um agente de código executar uma auditoria de segurança em seis etapas

Para quem

Use security-audit quando quiser que o agente de código atual trabalhe como auditor de segurança e complete seis etapas — reconhecimento, caça, validação, relatório, saída estruturada, verificação independente — para achar vulnerabilidades com impacto real que possam ser exploradas. Ele orquestra vários subagentes paralelos; não faz você clicar à mão num produto de varredura sem nome.

Pré-requisito: o modelo do agente de código deve suportar chamadas de ferramentas e subagentes paralelos; a validação de schema da quinta etapa também precisa de Node.js, para validate-findings.cjs. O material não lista produtos de agente; lista requisitos de capacidade, então não trate isso como exclusivo de um software. A página oficial do guia é

https://github.com/cloudflare/security-audit-skill

Primeira tentativa em 3 minutos

O comando oficial de instalação está no trecho:

npx skills add https://github.com/cloudflare/security-audit-skill  --skill security-audit

Este comando grava um skill, então tem efeitos colaterais. Confirme que o ambiente atual é o agente de código que você usará na auditoria e então execute. Após instalar, verifique primeiro se esta máquina tem Node.js, porque a quinta etapa o usa para rodar validate-findings.cjs.

Não diga imediatamente «pen-test the code» contra um repositório desconhecido. Pedidos que casam com frases-gatilho como security audit, find vulnerabilities e pen-test the code ativam automaticamente. Se você não indicar um diretório de saída, ele pergunta e, por padrão, grava em ~/security-audit-skill/<repo-name>/run-<N>. Isso cria arquivos sob o diretório home.

Primeira tentativa de baixo risco: após instalação bem-sucedida, indique primeiro um diretório de saída vazio que você possui e pergunte só «se auditássemos agora, para onde a saída seria gravada»; não autorize começar a mudar código nem enviar pacotes para fora. Sinal de sucesso: o skill está instalado, o agente consegue repetir a regra do caminho de saída padrão e não começou as seis etapas antes de você confirmar o diretório. Quando quiser de fato uma auditoria completa, confirme primeiro o repositório-alvo e o caminho de saída, depois use uma frase-gatilho.

Casos de uso

Caso 1: iniciar uma auditoria num repositório de código que você possui. Conclua a instalação oficial, confirme que o Node.js está disponível, dê um diretório de saída claro e use uma das frases-gatilho do material. O critério de conclusão: o agente entrou nas seis etapas e deixou a saída deste run no diretório indicado. Não deixe o caminho padrão sobrescrever resultados antigos que você quer manter. O trecho não escreve comandos internos de cada etapa; não invente scripts concretos de reconhecimento ou caça.

Caso 2: manter só achados exploráveis. O material exige: relate só problemas que você consegue explorar, e cada achado precisa de um cenário de ataque concreto, não «um atacante teoricamente poderia…». A quinta etapa usa validate-findings.cjs para validação de schema. Isto restringe a saída: rode a validação primeiro e então decida quais entradas ficam. O resumo também diz que a verificação adversária deve ser feita por um agente diferente do descobridor, mas o trecho não escreve um comando para trocar de agente. O critério de conclusão deste caso é «as entradas têm cenários concretos e passam o schema», não que um agente verificador já tenha sido trocado automaticamente.

Limites de uso

As seis etapas são reconhecimento, caça, validação, relatório, saída estruturada e verificação independente. A saída padrão é ~/security-audit-skill/<repo-name>/run-<N>. Sem Node.js você não termina a validação da quinta etapa. Sem chamadas de ferramentas e subagentes paralelos você não atinge os requisitos de execução escritos no material.

Não relate problemas teóricos que não possam ser explorados. Não use a frase-gatilho pen-test contra um alvo não autorizado. O material não dá lista de clientes nem diz como pular a validação sem Node.js. Além desta instalação, gatilhos, diretório de saída e critérios de relatório já escritos, este guia não cobre o resto.