# 소스 보안 감사 (security-audit)

> 소스 우선의 방어적 감사로 실제 신뢰 경계를 넘는 취약점을 찾고 증거, 안전한 재현, 우선순위, 최소 수정을 제시합니다.

- 카테고리: [보안 감사](https://www.myskills.tools/ko/categories/security-audit/)
- 출처: 공식 · Cloudflare
- 저장소: https://github.com/cloudflare/security-audit-skill/tree/main/skills/security-audit (commit c1c8a8c)
- SKILL.md: https://github.com/cloudflare/security-audit-skill/blob/main/skills/security-audit/SKILL.md
- 설치 명령: `npx skills add cloudflare/security-audit-skill --skill security-audit`
- 라이선스: MIT
- 호환 도구: Any SKILL.md agent
- 권한: read-repo ✓, write-files ✓, shell ✓, network ✗
- 상태: 스캔 통과
- 규칙 스캔으로 모든 위험을 찾을 수는 없습니다. 설치 전에 이 스킬의 SKILL.md를 읽고 권한을 확인하세요.

## 핵심 규칙

영향을 받는 주체, 자원, 보안 결과가 구체적이지 않은 후보는 확인된 취약점이 아닙니다.

## 실행 단계

1. **모드 선택과 준비** — 기본은 안내 모드이며, 전체 감사 모드에서는 대상 저장소 밖에 출력 디렉터리를 만들고 run-metadata.json을 씁니다.
2. **정찰** — 소스, 신뢰 경계, 로컬 빌드 경로, 이전 결과를 정리해 결정적인 커버리지 원장을 만듭니다.
3. **커버리지 기반 탐색** — 원장에 따라 서로 격리된 탐색 에이전트를 배정하고 커버리지 점검 라운드로 누락을 찾아 구조화된 후보를 모읍니다.
4. **독립 검증** — 탐색에 참여하지 않은 새 에이전트가 각 후보를 반박해 보고, 결과를 findings.json에 써서 스키마와 검증 스크립트로 확인합니다.
5. **보고서 작성** — 최종 기록을 다시 독립적으로 확인한 뒤 REPORT.md, FINDINGS-DETAIL.md, NEEDS-VALIDATION.md를 생성합니다.

## 권한 설명 (SKILL.md 기준)

| 기능 | 필요 여부 | 설명 |
|---|---|---|
| 파일 쓰기 | 일부 필요 | 전체 감사 모드에서만 대상 저장소 밖의 출력 디렉터리에 감사 파일을 쓰며, 대상 소스는 수정하지 않습니다. |
| 명령 실행 | 일부 필요 | 대상 코드는 외부 네트워크 없음, 읽기 전용, 자원 제한이 적용된 OS 샌드박스에서만 실행하며 동봉된 검증 스크립트도 실행합니다. |
| 네트워크 송신 | 필요 없음 | 배포된 엔드포인트나 외부 서비스를 탐색하지 않고 의존성도 설치하지 않습니다. |

## SKILL.md 프런트매터(YAML)

```yaml
---
name: security-audit
description: Security guidance and vulnerability review for codebases, APIs, services, CLI tools, libraries, and daemons. Use for security questions, focused reviews, vulnerability research, security audits, or pen tests. Run the complete workflow only for explicit codebase audit or pen-test requests, full/comprehensive/end-to-end reviews, or requested report artifacts.
---
```

홈: https://www.myskills.tools/ko/ · URL: https://www.myskills.tools/ko/skills/security-audit/