Скилл, из которого у Cloudflare выросли 7 245 найденных багов. Что он найдёт в вашем репозитории?

Cloudflare выложила инструмент, который нашёл 7 245 багов в её коде. Точнее, выложила не его, а то, с чего он начинался. 18 июня 2026 года команда безопасности Cloudflare опубликовала в блоге разбор своего харнесса для поиска уязвимостей и в тот же день открыла репозиторий cloudflare/security-audit-skill. К 29 сентября у репозитория 22 845 звёзд, из них 3 962 за последнюю неделю: он в топе GitHub Trending.

Аудит безопасности силами агента хочется запустить на своём проекте прямо сегодня, а тут готовый рецепт от команды, которая уже прогнала его подход по 128 своим репозиториям. Разберём, что это за рецепт, как он работает в Claude Code и чего от него не ждать.

Что такое security-audit-skill и откуда он взялся

Скилл это набор markdown-инструкций, которые агент подгружает, когда видит подходящий запрос. Если вы ещё не ставили скиллы, у нас есть гайд о том, как устроены и подключаются скиллы в Claude Code. Здесь главный файл SKILL.md задаёт правила и порядок работы, а рядом лежат промпты для каждой фазы, общий список классов атак и десять дополнительных файлов под разные виды кода: нативный код и бинарники, приложения на LLM, HTTP и авторизация, браузерный клиент, цепочка поставок, облако, RPC и очереди, исчерпание ресурсов, изоляция данных, десктоп и мобильные приложения.

По блогу, Cloudflare начинала со скилла примерно на 450 строк, который гоняли на одном репозитории и правили промпты, пока не пошли настоящие баги. Потом каждую фазу вынесли в отдельного агента, поставили за ними базу данных и оркестратор. Путь от первого запуска слэш-командой до сканера на 128 репозиториев занял около шести недель. Авторы пишут, что основная ценность живёт именно в промптах, и в харнессе они почти не изменились.

Шесть фаз аудита: одни агенты ищут, другие опровергают

Главная идея скилла умещается в одну строку README: агент, который проверяет находку, никогда не тот, кто её нашёл. Всё остальное построено вокруг неё.

1. 1

   Разведка

   Параллельные агенты читают код и составляют architecture.md: стек, точки входа, границы доверия. Параллельно заводится coverage-ledger.json, реестр того, что и каким классом атак предстоит проверить.

2. 2

   Охота по покрытию

   Изолированные охотники получают свои участки из реестра и ищут нарушения конкретных инвариантов. После каждой волны отдельный критик ищет пропущенные точки входа.

3. 3

   Проверка кандидатов

   Каждый кандидат уходит свежему агенту с установкой «You did not write this candidate. Try to refute it». Выводов других проверяющих он не видит.

4. 4

   Структурированный вывод

   Находки пишутся в findings.json с вердиктом confirmed, needs_validation или rejected. Файл проверяют JSON-схема и валидатор на Node.js.

5. 5

   Повторная сверка

   Новые агенты ещё раз сверяют каждую итоговую запись с исходником. Существенную правку проверяет ещё один независимый агент.

6. 6

   Отчёт

   Из проверенных записей собираются REPORT.md, FINDINGS-DETAIL.md и NEEDS-VALIDATION.md.

Нам больше всего нравится, как скилл обращается с сомнением. Вердикт needs_validation не означает «уязвимость, но не уверены». Это конкретная гипотеза с одним неизвестным фактом: например, настройка прокси, которой нет в репозитории. У такой записи нет уровня опасности, зато есть план, как этот факт проверить. А уровень опасности у подтверждённых находок жёстко привязан к доказанному: critical только если неаутентифицированный атакующий получает выполнение кода, полный доступ к хранилищу или чужие аккаунты. Отсутствие рекомендованной практики уязвимостью не считается.

7 245 багов у Cloudflare: какие цифры относятся к скиллу

В пересказах гуляет фраза «12 тысяч подтверждённых уязвимостей в 128 репозиториях». В блоге Cloudflare цифры другие по смыслу. 20 799 это сырые кандидаты от харнесса за всё время. Около 12 057 из них прошли первую валидацию. Дальше к ним добавились находки ещё одного харнесса, общий пул вырос до 13 841 в 145 репозиториях, агент дедупликации свернул 5 442 дубля, ещё 1 154 ушли в корзину «не тот репозиторий или не риск».

Главное расхождение не в арифметике. Эти цифры получил харнесс, а не скилл. В харнессе поиск делает одна модель, а проверку совсем другая, чтобы находку оценивали другие веса и другие данные обучения. В скилле находку опровергает другой агент, но, как правило, той же модели, только со свежим контекстом. Плюс у харнесса есть то, чего в скилле нет по определению: база, из которой работу можно продолжить после сбоя, трассировка уязвимостей между репозиториями, отдельные агенты дедупликации и исправления. Сам харнесс Cloudflare обещает выложить позже, на 29 сентября в репозитории только скилл.

И сам скилл уже не тот, что в блоге. Блог описывает семь фаз и около 450 строк. В репозитории шесть фаз, а 10 сентября большой PR переработал процесс, контракт находок и валидаторы: теперь только SKILL.md, HUNTING.md и VALIDATION-AND-REPORTING.md занимают больше 600 строк, а два валидатора около 1 650. Появились реестр покрытия, профили прогона и строгие требования к песочнице. Скилл стал аккуратнее и тяжелее.

Как запустить аудит безопасности в Claude Code

Скилл не привязан к конкретному агенту: ему нужна модель с вызовом инструментов и параллельными субагентами. Claude Code подходит. Ставится через CLI skills.sh:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit
# для всех проектов на машине добавьте --global
# дальше в сессии агента, в корне нужного репозитория:
security audit this codebase
do a security review, output to ~/audits/my-project

По умолчанию скилл работает в режиме подсказок: на вопрос про конкретную уязвимость он ответит, но файлов не создаст и все шесть фаз не запустит. Полный аудит включается только явной просьбой провести аудит или пентест кодовой базы. Результаты пишутся вне репозитория, в ~/security-audit-skill/<repo-name>/run-<N>. Внутрь проекта скилл пишет только в папку, которую вы назвали сами и которую игнорирует git.

Размер прогона задаётся профилем: quick для первого взгляда, standard по умолчанию, deep для больших и важных систем. Можно поставить бюджет в числе вызовов агентов. Если бюджет не покрывает разведку и проверку, скилл честно откажется начинать, а не пропустит проверку находок. Повторные прогоны дополняют друг друга: скилл читает прошлые реестры и целится в пробелы.

Где скилл упрётся

Песочница здесь не для галочки: во время проверки агент собирает и запускает код цели, а этот код может сделать что угодно. Как агенты находят выход из плохо закрытого контейнера, мы разбирали на отчёте OpenAI о побеге агента через DNS.

Что мы берём себе

Наше мнение, с которым можно спорить: самое ценное в репозитории не классы атак, а правило «кто нашёл, тот не утверждает». Оно работает далеко за пределами безопасности. Ревью кода, проверка фактов в тексте, миграция данных: везде, где агент сам оценивает свою работу, он склонен её одобрить. Cloudflare пишет в блоге, что агент может поправить исходник, чтобы его эксплойт сработал, и с торжеством сообщить о баге, который сам же создал. Отдельный агент без доступа к рассуждениям первого ловит такое дешевле, чем человек. Мы окажемся неправы, если на ваших задачах второй агент той же модели будет просто повторять ошибки первого; тогда проверять нужно другой моделью, как делает сам харнесс Cloudflare. Сколько стоит обвязка вокруг модели и когда она окупается, мы считали в сравнении Claude Code, Codex и pi.

Версии и цифры на 29 сентября 2026: последний коммит в репозитории 14 сентября, 22 845 звёзд. Скилл заметно менялся с июня, поэтому сверяйтесь с актуальным README.