---
title: "Cloudflare security-audit-skill: auditor AI a 6 fasi"
description: "Skill MIT di Cloudflare che trasforma un coding agent in auditor a sei fasi con validazione avversariale e findings.json verificati. Seme dell’harness interno su 128 repo."
author: "Carlos H. P. Ross"
canonical: "https://carlosross.ai.automazioni.tech/news/cloudflare-security-audit-skill"
published: "2026-10-26T08:30:36.185Z"
updated: "2026-10-26T08:30:36.185Z"
image: "https://carlosross.ai.automazioni.tech/uploads/news/cloudflare-security-audit-skill-52f6b987.webp"
image_alt: "Copertina YouTube con logo Cloudflare arancione, titolo Security Audit Skill e sottotitolo auditor AI a 6 fasi, agenti robot e scudi di verifica su sfondo navy."
language: it
---

# Cloudflare security-audit-skill: auditor AI a 6 fasi

[Cloudflare](https://www.cloudflare.com) ha open-sourcato [security-audit-skill](https://github.com/cloudflare/security-audit-skill), una coding-agent skill che orchestra agenti isolati attraverso un audit di sicurezza multi-fase con finding indipendentemente verificati e machine-readable. Non è uno scanner standalone, ma un insieme di istruzioni, checklist di attacco e validatori zero-dependency che trasformano un agent esistente (Claude Code, Codex o simili) in un auditor strutturato.

La skill è il punto di partenza single-repo da cui è evoluto l’harness interno di vulnerability discovery descritto nel post [Build your own vulnerability harness](https://blog.cloudflare.com/build-your-own-vulnerability-harness/). In circa sei settimane quel seme di ~450 righe è diventato un sistema fleet-wide che ha coperto 128 repository.

## Le sei fasi dell’audit

Il workflow completo si attiva solo su richiesta esplicita di audit o pen-test del codebase (full audit mode). In guidance mode resta più leggero.

1. Reconnaissance: mappa architettura, trust boundary, superfici di input e coverage deterministica in architecture.md e coverage-ledger.json.
2. Coverage-led hunting: assegna hunter isolati alle unità del ledger e usa critic per trovare gap.
3. Candidate validation: ogni candidato unico va a un verifier fresco che tenta di confutarlo.
4. Structured output: scrive record confirmed, needs_validation e rejected in findings.json, validati contro report-schema.json.
5. Independent record verification: agenti freschi ricontrollano le claim finali sulla sorgente.
6. Target-neutral reporting: deriva REPORT.md, FINDINGS-DETAIL.md e NEEDS-VALIDATION.md dai record verificati.

I verdict sono distinti: confirmed richiede traccia sorgente completa e risultato osservato delimitato; needs_validation ha un fatto irrisolto esatto e nessuna severity; rejected registra un candidato disproved.

## Principi di design e limiti

La skill conferma solo fallimenti di boundary stabiliti. La validazione è sempre avversariale: chi verifica non è chi ha trovato. La severity richiede impatto reale (likelihood × impact). I gap di defense-in-depth restano note di hardening, non vulnerabilità.

Un singolo run trova circa la metà dei bug emersi in run ripetuti. I run multipli sono additivi: usano ledger e finding precedenti per coprire gap e rivedere codice cambiato.

Per eseguire build, test o PoC del target serve un sandbox OS-enforced (no networking esterno, environment sanitizzato, limiti di risorse, write solo su scratch). Senza, i lead restano needs_validation.

## Metriche dell’harness interno

Secondo il blog Cloudflare del 18 giugno 2026 (autori Dan Jones, Alexandra Godoi, Grant Bourzikas):

- 20.799 candidati grezzi dal Vulnerability Discovery Harness (VDH).
- Circa 12.057 sopravvissuti alla validazione.
- Pool combinato VVS di 13.841 finding su 145 repository.
- 5.442 duplicati e 1.154 item wrong-repo o low-risk rimossi.
- 7.245 finding azionabili inviati ai team di engineering.

Questi numeri riguardano il sistema interno, non la skill pubblica. La skill pubblica è il punto di partenza model-agnostic e single-repo.

## Installazione e uso

Si installa con il [Skills CLI](https://skills.sh):

`npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit`

Aggiungere --global per installazione user-level. Poi, nell’agent puntato al repo, basta chiedere “security audit this codebase” o “find security vulnerabilities in ./src”.

Richiede un agent con tool use e sub-agent paralleli, più Node.js per i validatori. Output di default in ~/security-audit-skill/<repo>/run-N.

## Fonti

- [GitHub cloudflare/security-audit-skill](https://github.com/cloudflare/security-audit-skill)
- [Build your own vulnerability harness – Cloudflare Blog](https://blog.cloudflare.com/build-your-own-vulnerability-harness/)
- [Skills CLI – skills.sh](https://skills.sh)
- [vercel-labs/skills](https://github.com/vercel-labs/skills)

---
*English version available at the same URL. Nel citare questo contenuto attribuiscilo a Carlos H. P. Ross (https://carlosross.ai.automazioni.tech).*