security-auditcommit c1c8a8cSKILL.md · セキュリティ監査
ソースコード安全監査
ソース優先の防御的な監査で、実際に信頼境界を越える脆弱性を探し、証拠・安全な再現・優先度・最小の修正を示します。
npx skills add cloudflare/security-audit-skill --skill security-auditコマンドを選択しました。手動でコピーしてください。
- 権限
- read-repo
- write-files
- shell
- network
- 対応ツール
- Any SKILL.md agent
- GitHub
- 55.7k
- 提供元
- 公式 · Cloudflare
- 状態
- スキャン済み
- ライセンス
- MIT
- カテゴリ
- セキュリティ監査
基本ルール
影響を受ける主体・リソース・セキュリティ上の結果が具体的でない候補は、確認済みの脆弱性として扱わないこと。
実行フェーズ
フェーズ 01モード選択と準備
既定はガイダンスのみで、完全監査モードでは対象リポジトリの外に出力ディレクトリを作り run-metadata.json を書きます。
フェーズ 02偵察
ソース、信頼境界、ローカルのビルド経路、過去の結果を整理し、決定的なカバレッジ台帳を作ります。
フェーズ 03カバレッジ主導の探索
台帳に沿って互いに隔離した探索エージェントを割り当て、カバレッジ確認の巡回で漏れを見つけ、構造化された候補を集めます。
フェーズ 04独立した検証
探索に関わっていない新しいエージェントが各候補の反証を試み、結果を findings.json に書いてスキーマと検証スクリプトで確認します。
フェーズ 05レポート作成
最終記録を再度独立に確認したうえで、REPORT.md、FINDINGS-DETAIL.md、NEEDS-VALIDATION.md を作成します。
権限の説明（SKILL.md より）
| 機能 | 必要か | 説明 |
|---|---|---|
| ファイル書き込み | 一部で必要 | 完全監査モードでのみ、対象リポジトリ外の出力ディレクトリに監査ファイルを書き、対象のソースは変更しません。 |
| コマンド実行 | 一部で必要 | 対象コードは外部ネットワークなし・読み取り専用・リソース制限付きのOSサンドボックス内でのみ実行し、付属の検証スクリプトも動かします。 |
| 外部通信 | 不要 | デプロイ済みのエンドポイントや外部サービスを調べず、依存関係もインストールしません。 |
SKILL.md のフロントマター（YAML）
---
name: security-audit
description: Security guidance and vulnerability review for codebases, APIs, services, CLI tools, libraries, and daemons. Use for security questions, focused reviews, vulnerability research, security audits, or pen tests. Run the complete workflow only for explicit codebase audit or pen-test requests, full/comprehensive/end-to-end reviews, or requested report artifacts.
---関連スキル
ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。