Qué es security-audit-skill de Cloudflare: Cómo auditar tu código en 6 fases con agentes de IA

Cuando pegas código en un chat de IA convencional y preguntas «¿Hay alguna vulnerabilidad de seguridad aquí?», el resultado casi siempre decepciona: el modelo señala cabeceras ausentes o puntos teóricos de una lista de control, mientras pasa por alto fallos reales de autorización (IDOR) o envenenamiento de caché que abarcan varios archivos.

Para resolver este problema de raíz, Cloudflare ha publicado como código abierto (licencia MIT) cloudflare/security-audit-skill, la habilidad para agentes de programación que dio origen a su propio sistema interno de descubrimiento de vulnerabilidades, superando ya las 47.000 estrellas en GitHub.

1. Por qué fallan los prompts de seguridad tradicionales

1. Huecos de cobertura (Coverage Gaps): En un repositorio real, un solo agente revisa unos pocos archivos y pierde la cuenta de qué endpoints y límites de confianza (trust boundaries) se han auditado realmente.
2. Sesgo de confirmación (Confirmation Bias): Cuando un LLM detecta una línea sospechosa, intenta justificar su hallazgo a toda costa, generando falsos positivos.
3. Confundir defensa en profundidad con vulnerabilidades reales: Si la capa A ya bloquea el ataque, la ausencia de la capa B es una nota de endurecimiento (hardening), no un fallo crítico.

security-audit-skill soluciona esto combinando subagentes aislados con validadores deterministas en Node.js (validate-coverage-ledger.cjs y validate-findings.cjs).

2. Las 6 fases de la operación de auditoría

[Fase 1: Reconnaissance] ──▶ Mapea arquitectura y superficies de entrada en coverage-ledger.json
           │
           ▼
[Fase 2: Coverage-Led Hunting] ──▶ Lanza subagentes "Hunter" aislados en 10 dominios de ataque
           │
           ▼
[Fase 3: Candidate Validation] ──▶ Un subagente "Verifier" nuevo intenta REFUTAR cada hallazgo
           │
           ▼
[Fase 4 y 5: Structured Output & Verification] ──▶ Valida findings.json con report-schema.json
           │
           ▼
[Fase 6: Target-Neutral Reporting] ──▶ Genera REPORT.md, FINDINGS-DETAIL.md y NEEDS-VALIDATION.md

• Fase 1 (Reconocimiento): Mapea toda la arquitectura y límites de confianza en architecture.md y coverage-ledger.json para que ningún módulo quede sin revisar.
• Fase 2 (Caza dirigida por cobertura): Despliega agentes cazadores (Hunters) especializados en 10 categorías (WEB-PROTOCOL-AND-AUTH.md, AI-AND-LLM.md, DATA-ISOLATION-AND-LIFECYCLE.md, SUPPLY-CHAIN-AND-RELEASE.md, etc.).
• Fase 3 (Validación Adversarial): La regla de oro de Cloudflare es tajante:

3. Instalación y uso en 10 segundos

Instala la habilidad con la CLI de Skills:

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

Luego abre tu agente de programación en tu repositorio y ejecuta:

security audit this codebase