오픈소스✓ 공식 문서로 확인11월 11일 수집
클라우드플레어 보안 감사 스킬로 코드 취약점 찾는 법
클라우드플레어가 공개한 security-audit는 코딩 에이전트에게 코드 보안 감사를 맡기는 스킬이다. 서브에이전트가 정찰, 취약점 탐색, 반박 검증을 나눠 맡고, 다른 에이전트가 반박하지 못한 후보만 확인된 취약점으로 보고서에 오른다.
- 프로젝트 폴더에서 스킬즈 CLI로 설치한다. Node.js 22.20 이상이 필요하고, 어느 에이전트에 깔지는 설치 중에 고른다. 모든 프로젝트에서 쓰려면 끝에
--global을 붙인다.
npx skills add https://github.com/cloudflare/security-audit-skill \
--skill security-audit
- 감사할 저장소에서 에이전트를 띄우고 이렇게 시킨다.
security audit this codebase
결과 위치를 따로 정하지 않으면 ~/security-audit-skill/<저장소 이름>/run-<N>에 쌓인다. 요약 REPORT.md, 확인된 취약점 상세 FINDINGS-DETAIL.md, 더 확인할 항목 NEEDS-VALIDATION.md가 생긴다.
병렬 서브에이전트를 지원하는 에이전트에서만 제대로 돈다. 대상 코드를 빌드하거나 실행하는 검사는 네트워크가 끊긴 OS 샌드박스가 있을 때만 하고, 샌드박스가 없으면 그 항목을 '확인 필요'로 남긴다. 클라우드플레어 시험에서는 한 번 돌려 찾은 취약점이 여러 번 돌려 찾은 것의 절반쯤이었다. 같은 저장소에 다시 돌리면 이전 결과에 덧붙여 빈 곳을 찾는다.
출처