cloudflare/security-audit-skill — Kỹ năng cho coding agent thực hiện kiểm toán bảo mật nhiều giai đoạn, với kết quả được xác minh độc lập và có định dạng máy đọc được

Chuyện gì đã xảy ra

Cloudflare công bố kho mã cloudflare/security-audit-skill. Đây là một kỹ năng cho trợ lý lập trình AI, dùng để kiểm tra bảo mật có hệ thống. Kỹ năng chia công việc cho nhiều AI con làm việc độc lập. Mỗi AI con làm một phần: tìm hiểu hệ thống, săn lỗi, kiểm tra lại kết quả, rồi viết báo cáo. Đây là phiên bản đơn giản, dùng trong một kho mã, và là nền tảng để Cloudflare phát triển hệ thống tìm lỗ hổng lớn hơn.

Các con số và sự kiện chính

• Quy trình có 6 giai đoạn: tìm hiểu, săn lỗi, kiểm tra ứng viên, ghi kết quả có cấu trúc, xác minh độc lập, và báo cáo.
• Mỗi kết quả được xếp vào một trong ba loại: confirmed (đã xác nhận), needs_validation (cần kiểm tra thêm), và rejected (đã bác bỏ).
• Kho mã có khoảng 15 tệp hướng dẫn, gồm các nhóm lỗi cho mã gốc, ứng dụng web, đám mây, chuỗi cung ứng phần mềm và ứng dụng di động.

Bối cảnh cho người mới

Lỗ hổng bảo mật là lỗi trong phần mềm mà kẻ xấu có thể lợi dụng. Việc tìm lỗ hổng thường tốn nhiều thời gian. Kỹ năng này cố gắng làm việc đó tự động và cẩn thận hơn. Điểm quan trọng là mỗi phát hiện phải có bằng chứng từ mã nguồn. Nếu chưa đủ bằng chứng, kết quả chỉ được ghi là cần kiểm tra thêm, không được coi là lỗi thật.

Vì sao điều này quan trọng

Các công cụ AI tìm lỗi có thể đưa ra nhiều báo cáo sai. Kỹ năng này giảm lỗi bằng cách để một AI mới thử bác bỏ mỗi phát hiện. Nó cũng giữ lại kết quả dưới dạng dữ liệu máy đọc được, nên người và máy đều kiểm tra được. Nhờ đó, các nhóm bảo mật có thể dùng AI để tìm lỗ hổng đáng tin cậy hơn.

Điều cần theo dõi

• Cách Cloudflare phát triển hệ thống lớn hơn từ kỹ năng gốc này.
• Mức độ chính xác của các phát hiện khi dùng trên mã nguồn thật.
• Các nhóm khác có đóng góp thêm nhóm lỗi hoặc cải tiến quy trình không.