A Cloudflare disponibilizou sob licença aberta MIT o security-audit-skill, módulo projetado para transformar agentes autônomos de programação em auditores especializados em segurança de software e análise estática de vulnerabilidades.

Ampliar

Metodologia em seis fases e validação adversarial

O projeto nasceu como a base do pipeline interno de detecção de vulnerabilidades da Cloudflare (Vulnerability Discovery Harness). Em vez de delegar a análise a uma única chamada de modelo — o que costuma produzir alucinações e falsos positivos —, o fluxo opera em seis etapas coordenadas:

1. Reconhecimento: mapeamento detalhado da arquitetura, limites de confiança (trust boundaries) e superfícies de entrada no arquivo architecture.md.
2. Caça guiada por cobertura: subagentes isolados vasculham classes específicas de ataque com registro contínuo em coverage-ledger.json.
3. Validação adversarial: cada vulnerabilidade em potencial é submetida a um segundo agente independente com a missão explícita de tentar refutá-la.
4. Saída estruturada: consolidação dos achados em findings.json com validação estrita via JSON Schema.
5. Verificação independente de registros: confirmação neutra das linhas e trechos de código apontados como vulneráveis.
6. Relatório final: compilação dos relatórios executivos e técnicos com a menor correção efetiva sugerida.

Ampliar

Instalação e compatibilidade

Compatível com o padrão aberto de Skills, o pacote pode ser incorporado diretamente em ferramentas de linha de comando e agentes de desenvolvimento:

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

A documentação detalhada e os guias para diferentes classes de ataque estão disponíveis no repositório da Cloudflare no GitHub e no blog de engenharia da empresa.