Quellcodeprüfung in sechs Phasen mit unabhängiger Agentenvalidierung und strukturierten Befunden
Dieser von Cloudflare veröffentlichte Skill macht aus einem Coding-Agenten einen Sicherheitsprüfer mit sechs Phasen. Die erste Phase ist die Erkundung; dabei entstehen eine Architekturübersicht und ein Abdeckungsprotokoll. Danach folgt die auf die Abdeckung ausgerichtete Suche nach Schwachstellen. In der Validierungsphase versucht ein separater Agent, der den bisherigen Gesprächsverlauf nicht kennt, jeden potenziellen Befund zu widerlegen. Die folgenden Phasen erzeugen ein maschinenlesbares findings.json, validieren die Einträge und verfassen den Bericht. In den Bericht kommen nur Befunde, die der unabhängige Agent nicht widerlegen konnte. Abgelehnte Kandidaten bleiben im Abdeckungsprotokoll, damit spätere Durchläufe denselben Pfad nicht erneut von Grund auf untersuchen.
Das Ausgabeformat wird durch ein JSON-Schema definiert. Zwei Validatoren ohne externe Abhängigkeiten prüfen die Ausgabe. Eine Untersuchung von Penligent vom 19. Oktober 2026 testete diese Validatoren mit synthetischen Beispielen. Sie erhebt nicht den Anspruch, ein Modell-Benchmark zu sein. Die Untersuchung betont, dass das Tool nicht Cloudflares unternehmensweites Scansystem selbst ist, sondern lediglich ein davon abgeleiteter Ausgangspunkt, und dass es nur den Quellcode untersucht. Das im Juni 2026 erstellte Repository erreichte 56.000 Sterne.
Entwickler und Sicherheitsteams mit Zugriff auf ihren eigenen Quellcode, die eine konkrete Frage zu Autorisierung, Datenflüssen oder Mandantenisolierung anhand einer Beweiskette untersuchen möchten.
Untersucht ausschließlich den Quellcode und liefert keine Belege zur Bereitstellung, Identitätskonfiguration oder zum Live-System. Die Phasen mit mehreren Agenten können lange dauern und Modellnutzungslimits schnell aufbrauchen. Der letzte Push erfolgte am 14. September 2026; es gibt kein Release-Tag. Nur in Repositorys ausführen, für die Sie eine Prüfberechtigung haben.
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit