O que é a security-audit-skill da Cloudflare?

É uma ferramenta open source com licença MIT que transforma agentes de programação em auditores de segurança. A skill conduz a auditoria em seis fases, com validação adversarial independente de cada achado antes de registrá-lo.

A ferramenta é gratuita?

Sim. A security-audit-skill está no GitHub com licença MIT e instala com um único comando npx. O custo é o uso do modelo de IA pelo agente, que varia conforme o provedor escolhido.

Quantas vulnerabilidades a Cloudflare encontrou com a ferramenta?

Em uso interno, o sistema gerou 20.799 candidatos brutos em 145 repositórios e chegou a 7.245 achados acionáveis após deduplicação e validação adversarial.

A ferramenta substitui uma auditoria de segurança humana?

Não substitui, mas muda o ponto de partida. A equipe humana recebe candidatos validados por um agente adversarial, não uma varredura bruta. O agente nunca faz merge de correção sem revisão humana.

Precisa de algum modelo de IA específico?

Não. A skill é compatível com qualquer agente que suporte uso de ferramentas e subagentes paralelos. O repositório foi testado com modelos intercambiáveis — a arquitetura usa modelos distintos para descoberta e validação.

Auditoria de segurança com IA: Cloudflare abre ferramenta que encontrou 7.245 vulnerabilidades reais

A auditoria de segurança com IA ganhou uma referência pública importante em junho de 2026, quando a Cloudflare publicou no GitHub a security-audit-skill — uma ferramenta open source com licença MIT que transforma agentes de programação em auditores de código. Em menos de dois meses, o repositório acumulou 28.700 estrelas e 1.700 forks.

A lógica central é separação de responsabilidades: o agente que encontra uma falha nunca é o mesmo que a valida. Essa arquitetura reduziu a taxa de rejeição na validação de 40% para 11%, e a fatia de achados de alta confiança subiu de 35% para 58%.

Como a ferramenta funciona

A skill divide o trabalho em seis fases sequenciais, cada uma rodando em agentes isolados:

Reconhecimento: o agente mapeia arquitetura, fronteiras de confiança e superfícies de entrada antes de qualquer busca.
Caça dirigida: caçadores isolados recebem unidades específicas do código; críticos apontam lacunas de cobertura.
Validação adversarial: um agente separado tenta refutar cada candidato encontrado pelo caçador.
Saída estruturada: confirmados, pendentes e rejeitados são gravados em findings.json, validado por esquema.
Verificação independente: novos agentes conferem as afirmações diretamente no código-fonte.
Relatório: gera REPORT.md, FINDINGS-DETAIL.md e NEEDS-VALIDATION.md prontos para revisão humana.

Um controle importante: cada agente deve usar menos de 25% da janela de contexto disponível. A Cloudflare identificou esse limite como o mecanismo mais eficaz para conter alucinações em auditorias longas.

Resultados da auditoria de segurança com IA no uso interno

O post "Build your own vulnerability harness", publicado pelo CSO Grant Bourzikas em 18 de junho de 2026, documenta o que o sistema encontrou antes de se tornar público:

20.799 candidatos brutos gerados pelo pipeline de descoberta em 145 repositórios
7.245 achados acionáveis após deduplicação e validação adversarial
Em um repositório típico de 30 mil linhas: 3 a 4 horas para candidatos, 14 horas para pull requests prontos, 80 bugs distintos corrigidos a uma média de 5 minutos cada
Vulnerabilidades críticas chegaram à produção corrigidas em cerca de 5 dias; as demais, em 15 a 20 dias
25.472 dependências externas rastreadas para completar a análise

O sistema também mediu que execuções repetidas no mesmo repositório são cumulativas: uma única passagem encontrou cerca de metade das vulnerabilidades que execuções múltiplas encontraram no total.

Por que isso importa para o seu negócio

Auditorias de segurança manuais são caras e escassas. Uma revisão especializada pode custar dezenas de milhares de reais e levar semanas. A auditoria de segurança com IA não substitui esse trabalho, mas muda o ponto de partida: a equipe humana recebe candidatos já passados por validação adversarial, não uma lista bruta de centenas de alertas.

O caso CyberXero mostrou como o Claude Code pode ser instrumentalizado para exfiltrar dados — a mesma camada de agentes, voltada para a defesa, é o que a Cloudflare disponibilizou. Para equipes enxutas, a auditoria de segurança com IA rodando em CI/CD identifica classes inteiras de problemas antes que cheguem ao ambiente de produção.

O agente nunca faz merge sozinho: cada correção gerada exige revisão humana antes de ser aplicada. O papel do time técnico muda de triagem de alertas para decisão sobre patches prontos.

Como instalar e usar

A instalação exige um único comando:

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Para instalação global (disponível em todos os projetos), adicione --global. Em seguida, instrua o agente: "security audit this codebase" ou "find security vulnerabilities in ./src".

Requisitos: agente com suporte a subagentes paralelos, Node.js disponível no ambiente e permissão para executar o código do repositório em um sandbox. A Cloudflare incluiu validadores Node.js sem dependências externas (validate-findings.cjs e validate-coverage-ledger.cjs), o que facilita integrar a ferramenta em pipelines existentes.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fonte: github.com