github.com/cloudflare/security-audit-skill52.439 estrelas na checagem, 58.130 agora (+11%)O que é
- Uma skill que transforma o teu agente de código (Claude Code, Codex e outros) num auditor de segurança
- Trabalha em 6 fases: mapeia o projeto, caça falhas, um agente novo tenta desmentir cada achado, verifica de novo e gera o relatório
- Só confirma falha com prova; sem prova, fica como "precisa validar"
- Da Cloudflare (conta oficial no GitHub desde 2010)
Licença
- MIT: grátis, inclusive pra empresa e pra uso comercial
Segurança
- Por dentro é só texto: 15 manuais em markdown + 2 validadores em Node sem dependências
- Os validadores só leem o arquivo de resultado: não gravam nada, não usam internet e não rodam comando
- Segredos vazados: nenhum. Dependências: nenhuma
- 7 alertas da análise estática, todos alarme falso
- Sem texto escondido nas instruções (caracteres invisíveis, comentários, base64)
- As regras da skill mandam o agente só ler o código; rodar algo do projeto só em área isolada, sem internet e sem instalar nada
Pontos de atenção
- As regras de proteção são texto: quem obedece é o agente. A área isolada tem que existir no teu computador; a skill não cria
- A auditoria completa dispara vários agentes ao mesmo tempo: gasta bastante token (dá pra pôr limite)
- O comando de instalação sugerido (npx skills add) usa uma ferramenta de terceiros que não foi analisada aqui. Alternativa: copiar a pasta skills/security-audit à mão
- Por padrão grava os relatórios em ~/security-audit-skill/, fora do teu projeto
- A própria Cloudflare diz que uma rodada achou mais ou menos metade do que várias rodadas acharam juntas
- Último commit em 14/09/2026; 4 contribuidores
Não confirmado
- Se a skill acha falha de verdade (não executamos, só lemos)
- O que causou o salto de +16 mil estrelas nesta semana, 4 meses depois do lançamento