cloudflare/security-audit-skill — 独立して検証され、機械可読な結果を出力する多段階セキュリティ監査用のコーディングエージェント・スキル

何が起きたのか

Cloudflare は、GitHub で「security-audit」というスキルを公開しました。これは、コーディングエージェント（コードを読んで書く AI）に監査の手順を教えるための道具です。監査は 6 つの段階に分かれています。まず全体の構造を調べ、次に担当を分けて探し、見つけた候補を別の検証役が否定を試みます。最後に、結果をまとめた報告書を作ります。このスキルは、Cloudflare が以前紹介した脆弱性発見の仕組みの、もとになった単一リポジトリ版です。

6 つの段階と主な数字

• 段階 1：偵察。構造、信頼の境界、入力の入口を地図にします。結果は architecture.md と coverage-ledger.json に記録されます。
• 段階 2：調査。独立した調査役に、台帳の単位ごとに担当を割り当てます。
• 段階 3：候補の検証。見つかった候補ごとに、新しい検証役が一つずつ否定を試みます。
• 段階 4〜6：結果の記録、独立した再確認、報告書の作成。判定は confirmed（確定）、needs_validation（要確認）、rejected（否定）の 3 種類です。

初めて聞く人のための背景

脆弱性とは、プログラムの弱点のことで、悪意ある人に悪用されるおそれがあります。以前は人が一つずつ調べていましたが、今は AI エージェントに任せる試みが増えています。ただ、AI が「問題がある」と言っても、それが本当かどうかを確かめる仕組みが必要です。このスキルは、探す役と確かめる役を分け、同じ AI が自分の答えを確認しないようにしている点が特徴です。同じリポジトリを何度調べても、前回の記録を生かして、足りない部分や変わったコードだけを重点的に調べられます。

なぜ重要か

ソフトウェアの規模が大きくなり、人手だけで全体を調べることは難しくなっています。このスキルは、AI に監査を任せるときに起きやすい「もっともらしい誤報」を減らす工夫を示しています。判定の意味をはっきり分け、根拠の記録を機械で読める形にしている点も、他の人が再利用しやすい手本になります。ただし、このスキルがどれだけ実際の脆弱性を見つけたかといった成果は、記事からは分かりません。

今後注目したいこと

• 公開されたスキルを使って、他のプロジェクトでどんな結果が出るか。
• 記事で触れられている「Build your own vulnerability harness」の続報や、Cloudflare 内部での進化。
• 誤報をどこまで減らせるか、また人の確認がどれだけ必要かという点。