security-audit：讓編碼代理按六階段做安全審計

適合誰

當你希望目前編碼代理按安全審計員來工作，並走完六個階段——偵察、狩獵、校驗、報告、結構化輸出、獨立核驗——以找出有真實影響、可被利用的漏洞時，使用 security-audit。它編排多個並行子代理，而不是讓你手工點一份未點名的掃描產品。

前置：編碼代理所用模型要支援工具呼叫和並行子代理；第五階段的 schema 校驗還需要 Node.js，對應 validate-findings.cjs。資料沒有給出代理產品名單，列出的是能力要求，不要理解成某一家軟體獨佔。官方說明頁是

https://github.com/cloudflare/security-audit-skill

3 分鐘完成第一次嘗試

官方安裝命令就在摘錄裡：

npx skills add https://github.com/cloudflare/security-audit-skill  --skill security-audit

這條命令會寫入 skill，屬於有副作用的步驟。先確認目前環境就是你要用來做審計的編碼代理，再執行。安裝後先檢查本機有 Node.js，因為第五階段要用它跑 validate-findings.cjs。

不要馬上對未知儲存庫說「pen-test the code」。請求匹配 security audit、find vulnerabilities、pen-test the code 等觸發語時會自動啟用，若你不指定輸出目錄，它會詢問，並預設寫到 ~/security-audit-skill/<repo-name>/run-<N>。這會在家目錄下建立檔案。

低風險第一次：安裝成功後，先指定一個空的、你擁有的輸出目錄，只問「若現在審計，輸出會寫到哪裡」，不要授權它開始改程式碼或對外發包。成功訊號：skill 已裝上，代理能複述預設輸出路徑規則，並且在你確認目錄之前沒有開始六階段。真要跑完整審計時，先確認目標儲存庫和輸出路徑，再使用觸發語。

使用案例

案例一：在你擁有的程式碼儲存庫上啟動一次審計。先完成官方安裝，確認 Node.js 可用，再給出明確的輸出目錄，然後使用資料中的觸發語之一。完成標準是代理進入六個階段，並在指定目錄留下這次 run 的輸出。不要用預設路徑覆蓋你不打算保留的舊結果。摘錄沒有寫出每一階段的內部命令，因此不要編造偵察或狩獵的具體腳本。

案例二：只保留能利用的發現。資料要求：只報告你能利用的問題，每條發現都要有具體攻擊場景，而不是「攻擊者理論上可以……」。第五階段用 validate-findings.cjs 做 schema 校驗。這是對輸出的約束：先跑校驗，再決定哪些條目留下。摘要還提到對抗校驗要由不同於發現者的代理來做，但摘錄沒有寫出切換代理的命令，因此本案例完成標準是「條目帶具體場景且通過 schema」，而不是已經自動換了一個核驗代理。

使用界線

六個階段是偵察、狩獵、校驗、報告、結構化輸出、獨立核驗。預設輸出在 ~/security-audit-skill/<repo-name>/run-<N>。沒有 Node.js 就完不成第五階段校驗。沒有工具呼叫和並行子代理，就達不到資料寫的執行要求。

不要報告無法利用的理論問題。不要對未授權的目標使用 pen-test 觸發語。資料沒有給出用戶端名單，也沒有寫如何在缺 Node.js 時跳過校驗。超出這些已寫明的安裝、觸發、輸出目錄和報告標準，這份說明涵蓋不到。