Cộng đồng GitHub giới thiệu Cloudflare `security-audit-skill` để tự động hóa kiểm thử bảo mật bằng coding agent
security-audit-skill của Cloudflare là một quy trình mã nguồn mở biến coding agent có khả năng sử dụng công cụ thành một kiểm toán viên bảo mật có cấu trúc cho các codebase. Công cụ điều phối nhiều agent cô lập qua sáu giai đoạn: trinh sát, săn lỗ hổng theo phạm vi bao phủ, xác thực ứng viên, tạo phát hiện có cấu trúc, kiểm tra độc lập các bản ghi và sinh báo cáo. Skill này duy trì sơ đồ kiến trúc cùng sổ theo dõi phạm vi kiểm tra, chuyển từng ứng viên cho một agent xác minh mới để cố gắng bác bỏ, rồi phân loại kết quả thành confirmed, needsvalidation hoặc rejected. Nó tạo các bản ghi findings.json dạng máy đọc được cùng báo cáo Markdown, đồng thời cung cấp hướng dẫn săn lỗi cho những khu vực như prompt injection trong LLM, xác thực, chuỗi cung ứng, triển khai đám mây, bảo mật phía máy khách và cạn kiệt tài nguyên. Các trình kiểm tra Node.js không phụ thuộc thư viện sẽ xác thực dữ liệu phát hiện và phạm vi kiểm tra; những lần chạy sau có thể dùng lại bằng chứng cũ để tập trung vào mã đã thay đổi hoặc phần còn bỏ sót. Quy trình này hướng đến lập trình viên và đội bảo mật, nhưng yêu cầu sandbox do hệ điều hành áp đặt để chặn mạng bên ngoài và giới hạn tiến trình, tài nguyên cũng như quyền ghi tệp; nếu thiếu các kiểm soát đó, hệ thống sẽ không chạy mã mục tiêu và giữ kết quả ở trạng thái chưa được xác thực. Về thực tế, công cụ cung cấp cách lặp lại được để dùng coding agent trong đánh giá bảo mật, đồng thời giảm cảnh báo giả nhờ xác minh độc lập thay vì coi mọi nghi vấn của agent là lỗ hổng đã được khẳng định.
Lập trình viên và đội bảo mật có thể cài skill bằng `npx skills add` rồi yêu cầu coding agent kiểm tra một codebase, nhưng nên thiết lập sandbox giới hạn mạng, tiến trình và quyền ghi trước khi chạy. Cơ chế xác minh độc lập giúp giảm cảnh báo giả, song kết quả `needs_validation` vẫn cần con người kiểm tra thêm.
Đọc bài gốc