cloudflare/security-audit-skill — 독립적으로 검증되고 기계가 읽을 수 있는 결과를 제공하는 다단계 보안 감사용 코딩 에이전트 스킬

무엇이 나왔나

cloudflare/security-audit-skill은 AI 코딩 에이전트에게 주는 '스킬(작업 지침 묶음)'입니다. 에이전트는 이 지침을 따라 여러 단계로 보안 감사를 진행합니다. 각 단계는 서로 분리된 에이전트가 맡습니다. 이 스킬은 클라우드플레어의 취약점 탐지 시스템이 처음 출발한 단일 저장소 버전입니다.

여섯 단계 작업 흐름

1단계 정찰: 구조, 신뢰 경계, 입력 지점, 기존 증거, 검사 범위를 지도처럼 정리합니다. 2단계 범위 중심 탐색: 독립된 탐색자에게 검사 항목을 나누어 주고, 빈틈을 찾는 검사자가 누락을 확인합니다. 3단계 후보 검증: 찾은 후보마다 새 검증자가 '틀렸다는 것'을 증명하려고 시도합니다. 4단계 구조화된 결과: 확정, 추가 검증 필요, 기각 기록을 머신이 읽을 수 있는 파일로 저장하고 스키마로 검사합니다. 5단계 독립 기록 검증: 새 에이전트가 최종 소스 근거를 다시 확인합니다. 6단계 중립 보고서: 검증된 기록으로 보고서 파일을 만듭니다.

핵심 숫자와 사실

• 작업은 6단계로 나뉩니다.
• 결과는 세 가지 판정(확정, 추가 검증 필요, 기각)으로 나뉩니다.
• 검증 스크립트는 원장(ledger)을 만든 뒤와 이후 갱신할 때마다 실행됩니다.
• 여러 번 실행해도 결과가 누적되며, 오래되었거나 해결되지 않은 작업은 '검사 완료'로 치지 않습니다.

배경: 왜 이런 구조인가

AI 에이전트가 보안 문제를 찾으면 그럴듯하지만 틀린 결과를 내기 쉽습니다. 그래서 이 스킬은 찾는 쪽과 확인하는 쪽을 분리합니다. 한 에이전트가 찾고, 다른 새 에이전트가 반박을 시도합니다. 파일 형식도 정해져 있어서 사람과 프로그램이 모두 결과를 읽을 수 있습니다.

왜 중요한가

보안 점검은 시간이 많이 드는 일입니다. 이 스킬은 AI를 써서 점검을 빠르게 하되, 잘못된 경고를 줄이는 장치를 함께 담았습니다. 누구든 같은 방식으로 자신의 저장소를 점검할 수 있도록 공개되었다는 점도 의미가 있습니다.