Cloudflare 把自家"找漏洞流水线"的种子开源了：3.4 万 star，专治 agent 自信编 bug

cloudflare/security-audit-skill，MIT 协议。我直接打开 GitHub 仓库页确认：34,720 star、2,187 fork，今天还挂在 GitHub trending 日榜第二。

它是什么：一个 coding-agent skill，把你的 agent 变成安全审计员，按六个阶段跑完一次审计——侦察、覆盖式狩猎、候选验证、结构化输出、独立记录复核、中立报告。

最值得抄的不是工具，是它的"组织设计"。AI 审计最大的坑不是"找不到 bug"，而是"自信地编造 bug"。Cloudflare 的解法是制度：找漏洞的 hunter 永远不许给自己打分；每个候选漏洞都交给一个全新的验证者，它的任务是"试图证伪它"（README 原话：The agent that checks a finding is never the agent that found it）。最终结论只分三档：confirmed / needs_validation / rejected，每一条都要有完整证据链。

降调：README 自己写清楚了，这是 Cloudflare 内部漏洞挖掘 harness 的"种子/起点"，不是生产系统本身。别指望装上就等于请了 Cloudflare 安全团队。

上手就两步。安装：npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit。然后对代码库说一句："security audit this codebase"，skill 会自动接管。

成本提醒：HN 有用户实测，中等规模代码库烧了约 100 万 token，一个漏洞没找到（单方说法）。审计是 token 吞金兽，建议先拿小仓库试水。

对谁有用：所有用 agent 写代码的人。你的 vibe-coded 项目，最该被审计的就是它自己——你自己写的代码，agent 比你更不客气。

可信度：仓库数据与机制为官方口径（仓库页亲验）；HN 实测为单方说法。