Злой полицейский
tg1.7 тыс. подписчиков
Открыть пост ↗
🧠️ Cloudflare выложили в опенсорс навык для аудита безопасности кода
security-audit-skill — это готовый навык, который превращает вашего кодинг-агента в полноценного аудитора безопасности. Именно он лёг в основу внутреннего инструмента Cloudflare для поиска уязвимостей.
Как работает — 6 этапов:
1. Разведка — агент составляет карту архитектуры, границ доверия и точек ввода
2. Охота по покрытию — изолированные «охотники» проверяют каждую единицу реестра покрытия, а критики ищут пробелы
3. Проверка кандидатов — каждая находка уходит свежему проверяющему, который пытается её опровергнуть
4. Структурированный вывод — результаты пишутся в findings.json и валидируются по JSON-схеме
5. Независимая проверка записей — финальные утверждения проверяют новые агенты
6. Отчётность — отчёт генерируется из проверенных записей
Главные особенности:
• Состязательная проверка — тот, кто проверяет находку, никогда не тот, кто её нашёл
• Три вердикта: confirmed (полная трассировка до исходников), needs_validation (точный неразрешённый факт, без оценки серьёзности), rejected (опровергнуто)
• Повторные запуски дополняют друг друга — навык использует прошлые реестры и находки, чтобы бить по пробелам, а не начинать с нуля
• Много классов атак из коробки: безопасность памяти, инъекции в LLM, веб-протоколы и аутентификация, цепочка поставок, облако и IAM, RPC, клиентская часть и т.д.
Важно: по данным Cloudflare, одиночный прогон находит примерно половину уязвимостей от суммарного результата нескольких запусков. Так что прогоняйте несколько раз.
Установка:
Требования: агент с поддержкой инструментов и параллельных субагентов, Node.js для валидаторов, и изолированная среда (sandbox) на уровне ОС для запуска кода цели (без неё находки остаются в статусе needs_validation).
👉️ https://github.com/cloudflare/security-audit-skill
#security #ai #skills #agents #cloudflare #infosec
👮♂️ Злой полицейский
security-audit-skill — это готовый навык, который превращает вашего кодинг-агента в полноценного аудитора безопасности. Именно он лёг в основу внутреннего инструмента Cloudflare для поиска уязвимостей.
Как работает — 6 этапов:
1. Разведка — агент составляет карту архитектуры, границ доверия и точек ввода
2. Охота по покрытию — изолированные «охотники» проверяют каждую единицу реестра покрытия, а критики ищут пробелы
3. Проверка кандидатов — каждая находка уходит свежему проверяющему, который пытается её опровергнуть
4. Структурированный вывод — результаты пишутся в findings.json и валидируются по JSON-схеме
5. Независимая проверка записей — финальные утверждения проверяют новые агенты
6. Отчётность — отчёт генерируется из проверенных записей
Главные особенности:
• Состязательная проверка — тот, кто проверяет находку, никогда не тот, кто её нашёл
• Три вердикта: confirmed (полная трассировка до исходников), needs_validation (точный неразрешённый факт, без оценки серьёзности), rejected (опровергнуто)
• Повторные запуски дополняют друг друга — навык использует прошлые реестры и находки, чтобы бить по пробелам, а не начинать с нуля
• Много классов атак из коробки: безопасность памяти, инъекции в LLM, веб-протоколы и аутентификация, цепочка поставок, облако и IAM, RPC, клиентская часть и т.д.
Важно: по данным Cloudflare, одиночный прогон находит примерно половину уязвимостей от суммарного результата нескольких запусков. Так что прогоняйте несколько раз.
Установка:
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Требования: агент с поддержкой инструментов и параллельных субагентов, Node.js для валидаторов, и изолированная среда (sandbox) на уровне ОС для запуска кода цели (без неё находки остаются в статусе needs_validation).
👉️ https://github.com/cloudflare/security-audit-skill
#security #ai #skills #agents #cloudflare #infosec
👮♂️ Злой полицейский
1 картинка
Новый список