security-audit-skillは、Cloudflareが2026年6月18日にブログ記事「Build your own vulnerability harness」とともに公開したオープンソース（MITライセンス）のスキルです。ここに来て急速にスターを集めています。The Catchによると、10月25日時点のスター数は44,639で、そのうち12,680は直近7日間に付いたものです。これによりGitHubの週間トレンドで1位になりました。現在のスター数は約5万6,300、フォークは約3,700です。The CatchとAI Heartlandによると、ワークフローは9月に大きく作り直されています。
どんなものか：スキャナーではなく、エージェントへの指示書です。Claude CodeやCodexなどのコーディングエージェントを、次の6段階で動くセキュリティ監査役にします。
- アーキテクチャと入力経路の偵察
- カバレッジ台帳にもとづく、分離されたエージェントによる探索
- 新しいエージェントが各候補の反証を試みる検証
findings.jsonへの出力（confirmed／needs_validation／rejected）- 独立した再検証
- 最終レポートの作成
脆弱性を見つけたエージェントが、その脆弱性を自分で確定させることはありません。既定は質問に答えるだけのガイダンスモードで、フル監査は明示的に依頼したときだけ実行されます。
必要なもの：ツール利用と並列サブエージェントに対応したエージェントとモデル、同梱のバリデーターを動かすNode.js、そして対象コードを実行するためのOSレベルで強制されるサンドボックスです。サンドボックスがない場合、コードの実行が必要な指摘はneeds_validationのまま残ります。
Cloudflare自身の数字：Cloudflareは、約450行のこのスキルを出発点に社内ハーネスを構築し、128のリポジトリをスキャンしたと説明しています。生の候補20,799件のうち約12,057件が検証を通過し、最終的に7,245件が対応すべき指摘として残りました。これは社内ハーネスの数字で、公開版スキルのものではありません。また、記事の執筆時点ではハーネス自体は公開されていません。Cloudflareはブログで二つの限界も挙げています。1回の実行で見つかるのは複数回実行した場合の約半分にとどまること、そして見つかる脆弱性は単純なものに偏りがちなことです。見逃し率は示されていないため、1回の実行で何も見つからなくても安全とは言えません。
