Cloudflare zveřejnil Security Audit, otevřený skill pro coding agenty, který má bezpečnostní audit jednoho repozitáře rozdělit mezi několik izolovaných rolí. Nejde o běžný průchod kódem s jedním seznamem podezření. Evidence od začátku rozlišuje prověřené části kódu od stop, které zatím zůstávají neuzavřené.
Nejdřív agenti zmapují architekturu, hranice důvěry a vstupy do souborů architecture.md a coverage-ledger.json. Na jejich základě nastupují lovci podle tříd útoků; další agenti hledají mezery v pokrytí. Každý jedinečný kandidát pak dostane nový ověřovatel, jehož úkolem je nález vyvrátit. Do findings.json se proto zapisují odděleně potvrzené chyby, neuzavřené stopy a zamítnuté kandidáty; dodané skripty kontrolují strukturu těchto dat.
Pro plný běh jsou potřeba agenti schopní používat nástroje a paralelní podagenty, Node.js a operačním systémem vynucený sandbox pro spouštění nedůvěryhodného kódu. Cloudflare ve vlastních testech uvádí, že jeden běh našel přibližně polovinu chyb, které se objevily při opakovaných auditech. Tohle číslo není nezávislý benchmark, ale dobře vysvětluje, proč skill uchovává předchozí pokrytí a navazuje dalšími běhy.
Zdroje:
