Audit du code source en six étapes, avec validation par un agent indépendant et résultats structurés
Ce skill publié par Cloudflare transforme l’agent de codage en auditeur de sécurité en six étapes. La première étape est la reconnaissance : elle produit une synthèse de l’architecture et un registre de couverture. Vient ensuite la recherche de vulnérabilités axée sur la couverture. Lors de l’étape de validation, un agent distinct, sans accès aux échanges précédents, tente de réfuter chaque vulnérabilité potentielle. Les étapes suivantes génèrent un fichier findings.json lisible par machine, valident les entrées et rédigent le rapport. Seules les vulnérabilités que l’agent indépendant n’a pas pu réfuter figurent dans le rapport. Les pistes rejetées restent dans le registre de couverture afin que les exécutions suivantes ne réexaminent pas les mêmes pistes depuis le début.
Le format de sortie est défini par un schéma JSON. Deux validateurs sans dépendances vérifient cette sortie. L’évaluation de Penligent, datée du 19 octobre 2026, a testé ces validateurs à l’aide d’exemples synthétiques. Elle ne prétend pas comparer les performances des modèles. Elle souligne que l’outil n’est pas le système d’analyse à l’échelle de l’entreprise de Cloudflare, mais seulement un point de départ qui en est dérivé, et qu’il examine uniquement le code source. Le dépôt, créé en juin 2026, a atteint 56 000 étoiles.
Les développeurs et les équipes de sécurité ayant accès à leur propre code source et souhaitant examiner une question précise — autorisations, flux de données ou isolation des locataires, par exemple — à l’aide d’une chaîne de preuves.
Examine uniquement le code source ; ne fournit aucune preuve concernant le déploiement, la configuration des identités ou les systèmes en production. Les étapes faisant intervenir plusieurs agents sont longues et peuvent rapidement épuiser les limites d’utilisation du modèle. Dernier push le 14 septembre 2026, sans étiquette de version. À utiliser uniquement sur des dépôts que vous êtes autorisé à auditer.
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit