GitHub AI 스타 트렌드
에이전트 스킬·프롬프트도구/라이브러리JavaScript

cloudflare/security-audit-skill

A coding-agent skill for multi-phase security audits with independently verified, machine-readable findings

GitHub 에서 보기 ↗카드 기준일 2026-10-31 · 처음 작성 2026-10-28 · 갱신 2026-11-02
+10,473지난 주
23.2%규모 대비 성장률
55,581누적 스타

AI 작성이 카드는 AI(Claude)가 공개 자료(README·릴리스·HN·웹 글)로 쓴 요약입니다. 사람이 검토하지 않았으며, 주장마다 출처 링크와 확인·추정 표시를 붙였습니다. 숫자는 GitHub API 값을 코드가 채웁니다.

013줄 요약

  • 무엇인지 — cloudflare/security-audit-skill은 코딩 에이전트를 보안 감사자로 동작시키는 에이전트 스킬이다. 정찰부터 보고서 작성까지 6단계를 거치며, 각 단계는 서로 격리된 에이전트가 맡는다. 결과는 독립 검증을 거친 기계 판독형 findings로 남긴다.
  • 왜 지금 떴나 — 9월 HN 공개 이후 영상·블로그 해설이 꾸준히 이어졌고, 10월 19일 셋업 가이드가 나온 뒤 10월 22일에 다시 급등했다. 다만 급등 당일의 직접 계기는 근거에서 확인되지 않는다.
  • 어떤 의미인지 — 보안 감사를 'AI에게 물어보기' 수준에서 끝내지 않는 방법을 보여준다. 커버리지 원장, 반증 시도, 스키마 검증으로 결과를 구조화하는 방식을 Cloudflare 내부 하네스의 출발점 그대로 가져다 쓸 수 있다.

02숫자

누적 스타55,5812026-10-31
지난 주+10,473전주 14,510
규모 대비 성장률23.2%주 시작 45,108
생성06.182026년
주간 스타 · 최근 12주
12주 전10.25 주
이번 주 일별 스타 (UTC)
일 10.25토
항목값
누적 스타55,581 (2026-10-31 기준)
이번 주 증가+10,473
성장률+23% (주 시작 45,108)
AI 탭 순위지금 뜨는 8위
일별 증가10-25 +2,209 · 10-26 +1,525 · 10-27 +1,673 · 10-28 +1,416 · 10-29 +1,169 · 10-30 +1,280 · 10-31 +1,201
급등일2026-10-22 +2,788 (평소의 6배)
유형 · 카테고리도구/라이브러리 · 에이전트 스킬·프롬프트 (보조: 코딩 에이전트·IDE)
확인 필요없음

03왜 지금 떴나

  • 2026-09-17 Hacker News에 저장소가 올라왔다. 같은 날 Korben 소개 글과 유튜브 해설 영상도 나왔다. news.ycombinator.com · korben.info · youtube.com (확인)
  • 2026-09-17 star-history 기록상 이날 JavaScript 트렌딩 1위를 했다. star-history.com (확인)
  • 2026-09-28 Stackademic에 실무 개발자 관점의 상세 리뷰 글이 실렸다. blog.stackademic.com (확인)
  • 2026-10-07 explainx.ai가 스킬의 기원(Cloudflare의 'Build your own vulnerability harness' 글)과 6단계 구조를 정리한 글을 냈다. explainx.ai (확인)
  • 2026-10-19 Penligent가 셋업 방법과 증거 구조를 다루는 가이드를 냈다. 이 글은 리포트 validator를 합성 fixture로 직접 테스트했다. penligent.ai (확인)
  • 2026-10-22 급등일이다. 직전 가이드와 해설 글이 누적되면서 재유입이 일어난 것으로 보인다. penligent.ai · explainx.ai (추정)

04무엇인가

LLM 에이전트에게 보안 감사를 시키면 대개 설득력 있는 채팅 답변 하나로 끝난다. 그 답변에서는 어디를 확인했는지, 발견이 실제로 성립하는지 알기 어렵다. 이 스킬은 감사를 6단계 워크플로로 나눠 이 문제를 다룬다. Cloudflare가 내부 취약점 탐지 하네스를 키우기 전에 쓰던 단일 저장소용 출발점이다.

6단계는 다음과 같다. 정찰 단계에서 아키텍처·신뢰 경계·입력 표면을 architecture.md와 coverage-ledger.json에 기록한다. 커버리지 기반 헌팅 단계에서는 원장 단위로 격리된 hunter를 배정하고, coverage critic이 빈틈을 찾는다. 후보 검증 단계에서는 새 verifier가 각 후보를 반증하려 시도한다. 결과는 confirmed·needs_validation·rejected 세 판정으로 findings.json에 기록하고 report-schema.json으로 검증한다. 이후 새 에이전트가 최종 소스 주장을 다시 검증한다. 마지막으로 검증된 기록에서 REPORT.md 등 보고서를 도출한다. 부모 에이전트는 의존성 없는 Node 스크립트 validate-coverage-ledger.cjs와 validate-findings.cjs를 단계마다 실행한다.

구성은 SKILL.md와 단계별 지침 문서, 그리고 대상 유형별 공격 클래스 문서로 이뤄진다. 공격 클래스 문서는 메모리 안전성·LLM/에이전트·웹 프로토콜·클라이언트·공급망·클라우드·RPC·자원 고갈·데이터 격리·데스크톱/모바일 IPC 등을 다룬다. 같은 저장소를 여러 번 돌리면 결과가 누적된다. 이전 원장과 findings를 바탕으로 빈틈을 겨냥하고, 바뀐 소스를 재검증한다. 설치는 npx skills add로 하고, "security audit this codebase" 같은 요청으로 자동 활성화된다.

05비교

  • Claude Code 내장 /security-review 명령과 Anthropic의 PR 보안 리뷰어는 diff나 코드베이스를 빠르게 분석해 주는 도구다. 이 스킬은 커버리지 원장과 독립 반증 검증을 갖춘 다단계 감사라는 점에서 다르다. support.claude.com · korben.info (추정)
  • netresearch/security-audit-skill — PHP 전용 스킬로, OWASP 패턴 체크포인트와 셸 스크립트, PreToolUse 훅을 쓴다. 언어 중립적인 다중 에이전트 검증 구조와는 접근이 다르다. github.com (확인)
  • FlorianBruniaux/claude-code-ultimate-guide — 이 저장소의 security-audit 예제 스킬도 6단계 구조다. 다만 2~5분 안에 비밀 노출·의존성·Claude Code 설정을 점검해 점수화하는 경량 체크리스트형이다. github.com (확인)
  • Tharun-Balaji/audit-skills — 애플리케이션 코드가 아니라 AI 스킬 자체의 보안을 점검하는 개인 프로젝트다. 감사 대상이 다르다. medium.com (확인)

06활용사례

  • Penligent는 이 스킬의 리포트 validator를 합성 fixture로 실행해 증거 구조를 검토했다. 단, 모델 벤치마크나 실제 전체 감사를 수행했다고 주장하지는 않는다. penligent.ai (확인)
  • 한 Lead SWE는 의존성이 많은 엔터프라이즈 애플리케이션 감사에 이 스킬을 적용하는 방법을 설치 절차와 함께 소개했다. blog.stackademic.com (확인)
  • 유튜브 튜토리얼 두 편이 커버리지 원장으로 작업을 배정하는 방식을 설명한다. hunter가 자기 발견을 스스로 검증하지 않는 적대적 설계도 함께 다룬다. youtube.com · youtube.com (확인)
  • Korben은 첫 실행 전에 SKILL.md를 먼저 읽어볼 것을 권한다. korben.info (확인)

07한계·리스크

항목값
라이선스MIT
기여자3
상위 1명 기여 비중85%
지난 30일 이슈열림 24 · 닫힘 4
릴리스 주기릴리스 없음·모름
열린 이슈+PR110
  • 요구 사항이 까다롭다. 병렬 서브 에이전트를 지원하는 모델이 필요하다. 대상 코드의 빌드·테스트·퍼저를 돌리려면 외부 네트워크를 차단하고 자원을 제한하는 OS 수준 샌드박스도 갖춰야 한다. 이를 무시하면 감사 대상 코드가 호스트에서 실행될 위험이 있다. GitHub (확인)
  • 이 저장소는 Cloudflare의 플릿 규모 하네스가 아니라 그 출발점이다. 설치했다고 감사가 끝난 것도 아니다. 공개된 성능 벤치마크도 근거에 없다. GitHub · penligent.ai (확인)
  • 기여자가 소수이고 최근 주간 push 기록이 없다. 유지보수가 Cloudflare 내부 일부 인원에게 쏠려 있을 가능성이 있다. star-history.com (추정)
  • HN에서는 Cloudflare 스킬이 너무 많아 컨텍스트 창을 오염시킨다는 지적이 나왔다. 문서가 많은 이 스킬도 토큰 비용 부담이 클 수 있다. news.ycombinator.com · GitHub (추정)

08변경 기록

근거