Полез смотреть, что там внутри. Это не программа, а набор инструкций для агента - обычный скилл, как те, что я пишу себе сам. Кладется в папку скиллов и дальше просто говорите в консоли "сделай аудит безопасности этого проекта".
Как он работает: сначала агент изучает архитектуру проекта, потом параллельные субагенты ищут уязвимости по своим направлениям (авторизация, работа с данными, платежи, зависимости, даже отдельный раздел про ИИ и промпт-инъекции), затем каждую находку перепроверяет отдельный свежий агент, который ее не искал. В конце отчет: что подтверждено с указанием строк кода, что отклонено, что требует ручной проверки.
Есть режим quick для быстрого прогона и полный на шесть фаз. Полный будет тяжелым по токенам - инструкций там на 180 килобайт и куча параллельных агентов, так что на подписке это ощутимый кусок недельного лимита.
Что важно понимать: скилл работает только с исходным кодом, который лежит у вас локально. Живой сайт по ссылке он не проверяет, это прямо запрещено внутри. То есть это инструмент для своих проектов - ботов с доступами, магазинов с оплатой, сервисов, которые вы напилили через ИИ и куда потом залезет кто-то посторонний.
Для меня это как раз про то, о чем я давно думаю: код, который генерирует ИИ, работает, но кто его проверял на дыры? Теперь есть чем. Буду прогонять на своих сервисах.
Установка одной командой:
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Источник: https://github.com/cloudflare/security-audit-skill
