给你的 coding agent 配个"审计长"：Cloudflare 开源的安全审计 skill，登顶 GitHub 热榜

AI 写的代码越来越多，靠人肉 code review 已经看不过来了。Cloudflare 把自家内部用的漏洞挖掘流程开源成了一个 skill——cloudflare/security-audit-skill，今天（10 月 22 日）冲上 GitHub 热榜第 1，star 已经 2.8 万+（以上均为 GitHub 公开数据，实锤）。

它不是扫描器，而是一套"审计长工作流"：6 个阶段，先画架构和信任边界，再派独立的 hunter agent 分片去"找茬"，关键的是——查出问题的 agent 不许自己验，每个疑点都要交给一个没参与狩猎的 verifier 去证伪。结论分三档：confirmed（有完整证据链）、needs_validation（缺证据，不给严重等级）、rejected（已证伪的不再翻案）。专治 AI 审计的误报病。

装法（转述官方 README，未经实测）：

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

加 --global 装到所有项目。然后在 Claude Code 里说"security audit this codebase"，报告会落在项目外的 ~/security-audit-skill/<仓库名>/ 下，不动你的代码。一个实操坑（独立博主 lincolndevine 实测分享）：安装器有时把 skill 放到 ~/.agents/skills 而没链到 Claude Code，/security-audit 出不来的话手动软链一下。

两个提醒，都是实话：第一，Cloudflare 自己都承认，一次全量跑大概只能找出"多次跑能找到总数"的一半，审计要跑多轮、叠加着来（官方口径）；第二，它很烧 token，有网友报告中等代码库跑了约 100 万 token 还没发现东西（个人报告，仅供参考），而且想让它真正执行目标代码做验证，得配 OS 级沙盒，没有沙盒就只能降级成 needs_validation。

为什么值得装：AI 时代缺的不是"找 bug 的 AI"，缺的是"不瞎报的流程"。查和验必须分开、猜测不许穿成定论——这套设计比很多真人审计团队都诚实。建议先拿非核心小仓库跑个 quick audit，看看账单再决定上不上生产库。