1. Recon.
Der Agent verschafft sich zuerst einen Überblick über das Repo.
GITHUB REPO
Dein Code, geprüft. Vom Skill.
Der security-audit-Skill von Cloudflare lässt deinen KI-Coding-Assistenten ein ganzes Repo auf Sicherheitslücken prüfen: in sechs Phasen, und der Prüfer ist nie derselbe, der den Fund gemeldet hat.
- security-audit
- Claude Code
- GitHub
- Fortgeschritten
FEATURES
Was es kann.
2. Gezielte Suche.
Er sucht Lücken entlang der Abdeckung, damit kein Teil des Codes übersehen wird.
3. Kandidaten prüfen.
Jeder Verdacht wird einzeln validiert, bevor er als Fund zählt.
4. Strukturierte Ausgabe.
Die Funde landen als saubere Einträge statt als loser Text.
5. Unabhängige Prüfung.
Ein anderer Agent prüft jeden Eintrag. Der Prüfer ist nie der Finder.
6. Report.
Am Ende steht ein Bericht mit drei Verdikten: bestätigt, needs_validation oder verworfen.
USE CASES
Wofür du es einsetzt.
Eigenes Projekt prüfen
Du gibst deinem Assistenten den Auftrag, und er durchsucht das ganze Repo nach Lücken.
Vor dem Livegang
Ein Durchlauf vor dem Release zeigt, was du vorher noch schließen solltest.
Mein Lauf auf dem eigenen Dashboard
22 Minuten, 18 Agenten-Aufrufe. Die Datenbank wurde in einem Container ohne Netz nachgebaut, die Produktion blieb unberührt. Ergebnis: 1 bestätigte Lücke (der KI-Tagesplan war ohne Login lesbar) und 2 offene Verdachtsfälle.
Mehrfach laufen lassen
Ein Lauf findet laut README etwa die Hälfte der Lücken. Deshalb mehrfach starten.
BEFEHL
Ein Befehl, ein Satz.
Der Befehl installiert den Skill. Danach sagst du deinem KI-Coding-Assistenten im Repo, was er tun soll.
# Skill installieren (optional mit --global für alle Projekte): npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit # Danach in deinem Repo deinem KI-Coding-Assistenten sagen: security audit this codebase
DIE ANLEITUNG
In drei Schritten zum ersten Audit.
-
Skill installieren
Führe den Befehl im Terminal aus. Mit --global gilt der Skill für alle deine Projekte.
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit # optional für alle Projekte: --global anhängen
Geklappt, wenn: Der Skill security-audit ist bei deinem KI-Coding-Assistenten verfügbar.
-
Audit starten
Öffne das Repo, das du prüfen willst, und sag deinem Assistenten den Satz unten. Der Skill übernimmt die sechs Phasen.
security audit this codebase
Geklappt, wenn: Der Assistent arbeitet die Phasen ab und liefert am Ende einen Report.
Falls es hakt: Code wird nur in einer OS-Sandbox ausgeführt. Ohne Sandbox bleibt ein Fund auf needs_validation.
-
Report lesen, nochmal laufen lassen
Lies die Verdikte: bestätigt, needs_validation, verworfen. Starte den Audit danach noch einmal, denn ein Lauf findet laut README nur etwa die Hälfte.
Geklappt, wenn: Du hast mindestens zwei Reports und weißt, welche Funde bestätigt sind und welche noch Prüfung brauchen.
MEINE EINSCHÄTZUNG
Wofür es sich lohnt.
Gut geeignet für
- Sechs feste Phasen: Der Prüfer eines Funds ist nie derselbe Agent, der ihn gefunden hat
- Ehrliche Verdikte: bestätigt, needs_validation oder verworfen, nichts wird schöngeredet
- Cloudflare nennt das Repo den Startpunkt des eigenen Schwachstellen-Harness, MIT-Lizenz
Weniger geeignet für
- Frisst Tokens: Ein Audit mit mehreren Agenten-Aufrufen ist kein Schnäppchen
- Ein Lauf findet laut README etwa die Hälfte, du musst mehrfach laufen lassen
- Ersetzt keinen Pentest der Live-Seite: Der Skill prüft Code, keine laufende Produktion
Ein Befehl, ein Audit.
Skill installieren, im Repo "security audit this codebase" sagen, Report lesen.
FAQ
Häufige Fragen.
Was macht der Skill?
Er lässt deinen KI-Coding-Assistenten ein Repo in sechs Phasen auf Sicherheitslücken prüfen: Recon, gezielte Suche, Kandidaten-Validierung, strukturierte Ausgabe, unabhängige Prüfung und Report.
Was heißt needs_validation?
Der Fund ist ein begründeter Verdacht, aber noch nicht bewiesen. Bewiesen wird nur, wenn Code in einer OS-Sandbox ausgeführt werden kann. Ohne Sandbox bleibt es bei needs_validation.
Reicht ein Lauf?
Nein. Laut README findet ein Lauf etwa die Hälfte der Lücken. Lass den Audit deshalb mehrfach laufen.
Was hat der Skill bei dir gefunden?
Auf meinem eigenen Dashboard: 1 bestätigte Lücke und 2 offene Verdachtsfälle, nach 22 Minuten und 18 Agenten-Aufrufen. Die Produktion habe ich dabei nie angefasst, der Audit lief gegen einen Nachbau der Datenbank in einem Container ohne Netz.
Ersetzt das einen Pentest?
Nein. Der Skill prüft den Code deines Repos. Eine laufende Live-Seite testet er nicht.
Was kostet das?
Der Skill ist unter MIT-Lizenz kostenlos. Du zahlst die Tokens, die dein KI-Coding-Assistent für den Audit verbraucht, und das ist spürbar.
